Last Updated on 2024-09-26 07:34 by admin

Ivantiは、Connect Secure、Policy Secure、およびZTAゲートウェイにおける新たな脆弱性を公表しました。この脆弱性は、CVE-2024-22024として報告され、認証を回避する高重大度の脆弱性ですが、限定されたバージョンにのみ影響します。Ivantiは、この脆弱性を社内のコードレビューとテストの過程で発見したと主張していますが、脆弱性を最初に発見したとされる第三者の研究者たちからのクレジットがないことについて、研究者たちは混乱しています。

watchTowrの研究者たちは、2月2日にIvantiにこのバグを指摘し、その証拠としてメールのスクリーンショットを公開しました。しかし、Ivantiはこの脆弱性に関するアドバイザリを公開した際、研究者たちへのクレジットを省略しました。watchTowrは、クレジットが省略されたことについて驚きを表明しつつも、悪意はないと仮定しています。

この脆弱性は、以前に公表された他の脆弱性ほど深刻ではなく、1月31日に提供された更新された緩和策を適用したバージョンは自動的に保護されます。また、パッチを適用し、デバイスの工場出荷時設定にリセットしたユーザーも保護されます。Ivantiによると、この脆弱性がゼロデイとして積極的に悪用された証拠はないとのことですが、この主張には疑問が投げかけられています。

影響を受けるバージョンは、Ivanti Connect Secure（バージョン9.1R14.4、9.1R17.2、9.1R18.3、22.4R2.2、22.5R1.1）、Ivanti Policy Secure（バージョン22.5R1.1）、ZTA（バージョン22.6R1.3）です。Ivantiは、セキュリティ問題に直面しており、最近ではFortinetと同様に、脆弱性への対応に苦労しています。

【ニュース解説】

Ivantiが、同社のConnect Secure、Policy Secure、およびZTAゲートウェイにおける新たな脆弱性を公表しました。この脆弱性は、特定のバージョンにのみ影響を及ぼす高重大度の認証回避問題であり、CVE-2024-22024として報告されています。Ivantiはこの脆弱性を社内で発見したと主張していますが、実際には第三者の研究者グループであるwatchTowrが最初に指摘したもので、彼らはこの発見に対するクレジットを受けていません。

この脆弱性の発見と報告の経緯は、セキュリティ研究の世界におけるエチケットと透明性の重要性を浮き彫りにしています。通常、脆弱性を発見した研究者は、その貢献を認められ、公式な報告に名前が記載されることが期待されます。このプロセスは、セキュリティコミュニティ内での信頼と協力を促進し、将来の脆弱性発見への動機付けにもなります。

この脆弱性自体は、以前に報告された他の脆弱性と比較して深刻度は低いものの、適切な対策が講じられなければ、悪意のある攻撃者によってシステムのセキュリティが回避されるリスクがあります。Ivantiは、特定のバージョンに対する緩和策を提供しており、これを適用したシステムは保護されるとしていますが、この脆弱性がゼロデイ攻撃として利用された証拠はないとしつつも、その主張には疑問が投げかけられています。

この事例は、セキュリティ脆弱性の報告と対応プロセスにおける課題を示しています。特に、脆弱性の発見者への適切なクレジットの付与、迅速かつ透明なコミュニケーション、そして公開された緩和策の有効性に関する疑問などが挙げられます。これらの課題は、セキュリティコミュニティ全体での信頼と協力を構築する上で重要な要素です。

長期的には、このような脆弱性の発見と報告のプロセスを改善することが、より安全なデジタル環境の構築に寄与します。セキュリティ研究者、ベンダー、そしてユーザー間のオープンな対話と協力が、将来的なセキュリティリスクの低減に不可欠であることが、この事例からも明らかになります。

from Ivanti discloses fifth vulnerability, doesn't credit researchers who found it.

SNSに投稿する