「Ivanti EPMM」にあらたな脆弱性 - 当初発表から内容更新、対象範囲拡大

IvantiのMDM製品「Ivanti Endpoint Manager Mobile（EPMM）」や旧製品の「MobileIron Core」が影響を受けるあらたな脆弱性が判明した。公開当初のアドバイザリから対象バージョンが変更されており注意が必要だ。

モバイルデバイス管理製品である「EPMM 11.10」「同11.9」「同11.8」や「MobileIron Core 11.7」に認証がバイパスされる脆弱性「CVE-2023-35082」が明らかとなったもの。同製品に関しては、先にゼロデイ脆弱性「CVE-2023-35078」や「CVE-2023-35081」が判明しているが、異なる脆弱性となる。

同社は現地時間8月2日にアドバイザリを公表。当初は2022年3月にサポートが終了している「MobileIron Core 11.2」に脆弱性が見つかったことを明らかにし、「同11.3」のバグを修正する過程で偶然解決していたと述べていた。

しかし、現地時間8月7日にアドバイザリを更新。調査の結果、「MobileIron Core 11.3」以降はもちろん、「Ivanti EPMM」についても影響を受けることを明らかになったとして対象バージョンを訂正した。

当初の発表で脆弱性の影響について、認証なしでアプリケーションの制限された機能やリソースにアクセスできるとし、共通脆弱性評価システム「CVSSv3」におけるベーススコアを最高値である「10」と評価。更新後のアドバイザリでは、悪用のリスクについて顧客の構成によって異なると説明している。

同社では、「EPMM 11.10」から「同11.3」向けに脆弱性へ対処する「RPMスクリプト」を用意した。旧版についてはアップデートを実施してから適用する必要があるという。

（Security NEXT - 2023/08/08 ）ツイート

「Ivanti EPMM」にあらたな脆弱性 - 当初発表から内容更新、対象範囲拡大

関連リンク

PR

関連記事