「Ivanti Connect Secure」のゼロデイ脆弱性、侵害状況の確認を

Ivantiが提供するリモートアクセス製品にゼロデイ脆弱性が明らかとなった問題で、少なくとも2023年12月上旬より攻撃が展開されていたことがわかった。利用者に対して侵害されていないか確認するよう呼びかけられている。

「Ivanti Connect Secure（旧Pulse Connect Secure）」「Ivanti Policy Secure Gateway」において、2件のゼロデイ脆弱性「CVE-2023-46805」「CVE-2024-21887」が判明したもの。

組み合わせることで認証なしにリモートよりコードの実行が可能となる。パッチは準備中で、緩和策を講じるよう呼びかけられている。

脆弱性を報告したVolexityによれば、脆弱性を発見したきっかけとなったのは、12月第2週にネットワーク監視サービスで検知した顧客環境における不審なラテラルムーブメントだったという。

同社が「GLASSTOKEN」と呼ぶウェブシェルが複数配置されていることを確認。「Ivanti Connect Secure」のアプライアンスを調査したところ、ログを消去され、さらにログの記録も無効化されていることがわかった。

過去のネットワークトラフィックを調べたところ、12月初旬より攻撃が展開されていることがわかり、Ivanti協力のもと、アプライアンスのメモリなどについて調査を行ったという。

（Security NEXT - 2024/01/11 ）ツイート