「Ivanti EPMM」にあらたな脆弱性 - 当初発表から内容更新、対象範囲拡大
IvantiのMDM製品「Ivanti Endpoint Manager Mobile(EPMM)」や旧製品の「MobileIron Core」が影響を受けるあらたな脆弱性が判明した。公開当初のアドバイザリから対象バージョンが変更されており注意が必要だ。
モバイルデバイス管理製品である「EPMM 11.10」「同11.9」「同11.8」や「MobileIron Core 11.7」に認証がバイパスされる脆弱性「CVE-2023-35082」が明らかとなったもの。同製品に関しては、先にゼロデイ脆弱性「CVE-2023-35078」や「CVE-2023-35081」が判明しているが、異なる脆弱性となる。
同社は現地時間8月2日にアドバイザリを公表。当初は2022年3月にサポートが終了している「MobileIron Core 11.2」に脆弱性が見つかったことを明らかにし、「同11.3」のバグを修正する過程で偶然解決していたと述べていた。
しかし、現地時間8月7日にアドバイザリを更新。調査の結果、「MobileIron Core 11.3」以降はもちろん、「Ivanti EPMM」についても影響を受けることを明らかになったとして対象バージョンを訂正した。
当初の発表で脆弱性の影響について、認証なしでアプリケーションの制限された機能やリソースにアクセスできるとし、共通脆弱性評価システム「CVSSv3」におけるベーススコアを最高値である「10」と評価。更新後のアドバイザリでは、悪用のリスクについて顧客の構成によって異なると説明している。
同社では、「EPMM 11.10」から「同11.3」向けに脆弱性へ対処する「RPMスクリプト」を用意した。旧版についてはアップデートを実施してから適用する必要があるという。
(Security NEXT - 2023/08/08 )
ツイート
PR
関連記事
秘密管理ツール「OpenBao」に脆弱性 - 任意のコード実行が可能に
Omnissaのメールセキュリティ製品にSSRFの脆弱性 - アップデートが公開
「Microsoft Edge」にセキュリティアップデート - 脆弱性8件を修正
先週注目された記事(2025年8月3日〜2025年8月9日)
GovTech東京の支援プログラム、受講者間で個人情報が閲覧可能に
保存場所を誤り、児童用端末から成績が閲覧可能に - 大阪市
職員が患者の検査画像をSNSに投稿 - 都内の循環器専門病院
健康ポイント参加者宛の案内メールで誤送信 - 鏡野町
不正アクセスにより採用情報ページでシステム障害 - 日東エネルギー
日本コロムビアやグループ会社にサイバー攻撃 - 詳細を調査中