IvantiのMDM製品に脆弱性、ゼロデイ攻撃も発生 - 早急に対応を
Ivanti(旧MobileIron)のモバイルデバイス管理ソリューション「Ivanti Endpoint Manager Mobile(EPMM)」に脆弱性が明らかとなった。影響が大きく、早急にアップデートを実施するよう呼びかけている。
同製品は、IvantiがMobileIronを買収する以前は「MobileIron Core」として提供されていたMDMソリューション。同社が現地時間7月24日にセキュリティアドバイザリを公開したもので、APIへ認証なしにアクセスできる脆弱性「CVE-2023-35078」が判明した。サポート中はもちろん、すでにサポートを終了したバージョンも含め、すべてのバージョンが影響を受ける。
リモートより悪用が可能で、攻撃者がユーザー名、電話番号、デバイス情報などを窃取したり、管理アカウントの作成などシステムを改ざんするおそれがある。共通脆弱性評価システム「CVSSv3」のベーススコアは、最高値である「10」と評価した。
すでに同脆弱性の悪用が発生しているとの信頼できる情報を把握しており、同社は「非常に限定的」としつつも一部利用者が影響を受けたことを明らかにしている。同社では顧客やパートナーと協力して調査を進めているという。
同社では、「CVE-2023-35078」を修正するパッチを用意。早急に対策を講じるよう利用者へ呼びかけている。
(Security NEXT - 2023/07/25 )
ツイート
関連リンク
PR
関連記事
ネットワーク監視ツール「LibreNMS」に脆弱性 - 「クリティカル」も
個情委、公金受取口座の誤登録問題でデジタル庁に行政指導
「SecHack365」の受講生情報含むPCが所在不明に - NICT
患者情報含むファイルがネット上で閲覧可能に - 日大板橋病院
住民票の誤交付問題で富士通Japanに行政指導 - 個情委
「iPhone」や「iPad」に3件のゼロデイ脆弱性 - アップデートを公開
サポート詐欺で職員宅PCが遠隔操作 - 厚生中央病院
Snatchランサムウェア、セーフモードでセキュリティ対策を回避
Atlassian、「Bitbucket」「Confluence」などの脆弱性を修正
「Drupal」にキャッシュ汚染の脆弱性 - 権限昇格のおそれ