IvantiのMDM製品にさらなるゼロデイ脆弱性 - 組み合わせて悪用

Ivantiのモバイルデバイス管理ソリューション「Ivanti Endpoint Manager Mobile（EPMM）」にあらたな脆弱性「CVE-2023-35081」が判明した。先に注意喚起が行われた「CVE-2023-35078」と組み合わせて悪用されているという。

同製品は、IvantiがMobileIronを買収する以前は、「MobileIron Core」として提供されていたMDMソリューション。現地時間7月28日にセキュリティアドバイザリを公開し、ディレクトリトラバーサルの脆弱性「CVE-2023-35081」について明らかにしたもの。

同製品が稼働するウェブアプリケーションサーバにおいて、OSの権限により任意のファイルを書き込み、OSコマンドを実行することが可能となる脆弱性で、「ウェブシェル」の配置などに悪用されるおそれがある。共通脆弱性評価システム「CVSSv3」のベーススコアは「7.2」と評価されている。

同脆弱性を悪用するには、管理者権限が必要となるが、現地時間7月24日にセキュリティアドバイザリを公開された「CVE-2023-35078」と組み合わせて悪用されているという。

同社では脆弱性の判明を受け、修正パッチを用意。早急にアップデートを実施するよう呼びかけている。

（Security NEXT - 2023/07/31 ）ツイート