Last Updated on 2024-09-18 06:08 by 門倉 朋宏
Ivantiは、同社のConnect SecureおよびPolicy Secure製品における2つの新たな高重大度のゼロデイ脆弱性を公表しました。このうち1つは、実際に悪用されていると報告されています。公開された脆弱性は以下の通りです。
– CVE-2024-21888 (CVSSスコア: 8.8)：Ivanti Connect Secure (9.x, 22.x)およびIvanti Policy Secure (9.x, 22.x)のWebコンポーネントにおける権限昇格の脆弱性。この脆弱性を悪用すると、ユーザーが管理者の権限を取得できます。
– CVE-2024-21893 (CVSSスコア: 8.2)：Ivanti Connect Secure (9.x, 22.x)、Ivanti Policy Secure (9.x, 22.x)、およびIvanti Neurons for ZTAのSAMLコンポーネントにおけるサーバーサイドリクエストフォージェリの脆弱性。攻撃者が認証なしで特定の制限されたリソースにアクセスできるようになります。
Ivantiは、CVE-2024-21888による顧客への影響はこれまで確認されていないと述べていますが、CVE-2024-21893の悪用は標的型であると認めています。また、この情報が公になると悪用が急増すると予測しています。
これらの脆弱性に対処するため、IvantiはConnect Secureのバージョン9.1R14.4、9.1R17.2、9.1R18.3、22.4R2.2、22.5R1.1およびZTAのバージョン22.6R1.3に対する修正をリリースしました。また、パッチ適用前にアプライアンスを工場出荷時の状態にリセットすることを推奨しており、このプロセスには3-4時間かかるとしています。
CVE-2024-21888およびCVE-2024-21893に対する一時的な回避策として、”mitigation.release.20240126.5.xml”ファイルのインポートが推奨されています。
この発表は、同じ製品の他の2つの脆弱性、CVE-2023-46805およびCVE-2024-21887が、複数の脅威アクターによってバックドア、暗号通貨マイナー、およびKrustyLoaderと呼ばれるRustベースのローダーを展開するために広範囲に悪用されていることが明らかになった後に行われました。
【ニュース解説】
Ivanti社が、自社の製品であるConnect SecureおよびPolicy Secureにおいて、2つの新たな高重大度のゼロデイ脆弱性を公表しました。これらの脆弱性のうち、1つは既に標的型攻撃に利用されているとのことです。ゼロデイ脆弱性とは、公に知られていないセキュリティ上の欠陥を指し、発見されるまで修正が行われないため、攻撃者による悪用のリスクが高いとされます。
具体的には、CVE-2024-21888はWebコンポーネントにおける権限昇格の脆弱性で、攻撃者が管理者権限を不正に取得することが可能になります。一方、CVE-2024-21893はSAMLコンポーネントにおけるサーバーサイドリクエストフォージェリの脆弱性で、攻撃者が認証なしで制限されたリソースにアクセスできるようになるというものです。
Ivanti社はこれらの脆弱性に対して修正パッチをリリースし、さらにセキュリティを強化するために、パッチ適用前にアプライアンスを工場出荷時の状態にリセットすることを推奨しています。この措置は、攻撃者がシステム内に残留することを防ぐためのものです。
このようなゼロデイ脆弱性の発見と公表は、セキュリティコミュニティにとって重要な情報であり、迅速な対応が求められます。特に、標的型攻撃に利用されている脆弱性は、特定の組織や個人を狙った高度な攻撃につながる可能性があるため、警戒が必要です。
このニュースは、企業や組織がセキュリティ対策を常に最新の状態に保つことの重要性を改めて浮き彫りにしています。また、ソフトウェア開発者やセキュリティ専門家にとっては、システムの脆弱性を早期に発見し、修正するための取り組みを強化するきっかけとなるでしょう。さらに、このような脆弱性の公表は、サイバーセキュリティの規制や基準を見直す機会を提供し、長期的にはより安全なデジタル環境の構築に寄与する可能性があります。
しかし、攻撃者が新たな脆弱性を見つけ出し、悪用する可能性は常に存在します。そのため、セキュリティ対策は一度きりのものではなく、継続的な監視と更新が必要です。企業や組織は、セキュリティのベストプラクティスを遵守し、従業員に対する教育を強化することで、サイバー攻撃のリスクを最小限に抑えることができます。
from Alert: Ivanti Discloses 2 New Zero-Day Flaws, One Under Active Exploitation.
