Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Ivanti EPMM」にあらたな脆弱性 - 当初発表から内容更新、対象範囲拡大

IvantiのMDM製品「Ivanti Endpoint Manager Mobile(EPMM)」や旧製品の「MobileIron Core」が影響を受けるあらたな脆弱性が判明した。公開当初のアドバイザリから対象バージョンが変更されており注意が必要だ。

モバイルデバイス管理製品である「EPMM 11.10」「同11.9」「同11.8」や「MobileIron Core 11.7」に認証がバイパスされる脆弱性「CVE-2023-35082」が明らかとなったもの。同製品に関しては、先にゼロデイ脆弱性「CVE-2023-35078」や「CVE-2023-35081」が判明しているが、異なる脆弱性となる。

同社は現地時間8月2日にアドバイザリを公表。当初は2022年3月にサポートが終了している「MobileIron Core 11.2」に脆弱性が見つかったことを明らかにし、「同11.3」のバグを修正する過程で偶然解決していたと述べていた。

しかし、現地時間8月7日にアドバイザリを更新。調査の結果、「MobileIron Core 11.3」以降はもちろん、「Ivanti EPMM」についても影響を受けることを明らかになったとして対象バージョンを訂正した。

当初の発表で脆弱性の影響について、認証なしでアプリケーションの制限された機能やリソースにアクセスできるとし、共通脆弱性評価システム「CVSSv3」におけるベーススコアを最高値である「10」と評価。更新後のアドバイザリでは、悪用のリスクについて顧客の構成によって異なると説明している。

同社では、「EPMM 11.10」から「同11.3」向けに脆弱性へ対処する「RPMスクリプト」を用意した。旧版についてはアップデートを実施してから適用する必要があるという。

(Security NEXT - 2023/08/08 ) このエントリーをはてなブックマークに追加

PR

関連記事

秘密管理ツール「OpenBao」に脆弱性 - 任意のコード実行が可能に
Omnissaのメールセキュリティ製品にSSRFの脆弱性 - アップデートが公開
「Microsoft Edge」にセキュリティアップデート - 脆弱性8件を修正
先週注目された記事(2025年8月3日〜2025年8月9日)
GovTech東京の支援プログラム、受講者間で個人情報が閲覧可能に
保存場所を誤り、児童用端末から成績が閲覧可能に - 大阪市
職員が患者の検査画像をSNSに投稿 - 都内の循環器専門病院
健康ポイント参加者宛の案内メールで誤送信 - 鏡野町
不正アクセスにより採用情報ページでシステム障害 - 日東エネルギー
日本コロムビアやグループ会社にサイバー攻撃 - 詳細を調査中