Ivanti脆弱性、PoC公開で攻撃増 - 痕跡消去の可能性も踏まえ調査を
「Ivanti Connect Secure(旧Pulse Connect Secure)」「Ivanti Policy Secure Gateway」にゼロデイ脆弱性が明らかとなった問題を受け、JPCERTコーディネーションセンターは、日本国内の組織に対して攻撃が展開された可能性も把握しているとし、あらためて注意喚起を行った。痕跡を消されている可能性もあり、周辺環境も調査するよう求めている。
同センターでは、これまでも「CVE-2023-46805」「CVE-2024-21887」が判明したことを受け、注意を呼びかけてきたが、1月16日に実証コード(PoC)が公開されて以降、脆弱性を悪用するさまざまな攻撃が発生しているとして、注意喚起情報を更新した。
具体的には、ログインするための資格情報を窃取するため、「JavaScript」を改ざんしたり、構成情報や設定情報の窃取、ダウンロードしたマルウェアの実行、窃取した情報を用いた内部侵入などが観測されている。
こうした状況を受け、同センターでは1月16日までに同脆弱性の影響を緩和する対策を講じていなかった場合は、緩和策を適用するとともに調査を行うよう求めた。
また同製品内部のログが削除されているケースも確認されていると指摘。調査にあたり、ログを含めた痕跡が削除されている可能性も考慮し、周辺機器のログについても調査を行うよう求めている。
(Security NEXT - 2024/01/31 )
ツイート
関連リンク
PR
関連記事
10月の脆弱性悪用警告は17件、前月の約3分の2に - 米CISA
IvantiやFortinetの脆弱性狙う攻撃に注意喚起 - 米当局
「Ivanti CSA」にゼロデイ脆弱性 - 既知脆弱性と連鎖させた攻撃
Ivanti、アドバイザリ5件を公開 - 「クリティカル」やゼロデイ脆弱性も
Ivanti製エンドポイント管理製品の脆弱性、悪用が判明
「Ivanti vTM」の脆弱性狙う攻撃が発生中 - 対策の実施を
「Ivanti CSA」にあらたなゼロデイ脆弱性 - 前回パッチで偶然修正済み
「Windows」や「WebLogic」など脆弱性5件の悪用に注意
「Ivanti CSA」脆弱性の悪用が判明 - 侵害状況の確認を
1週間で脆弱性7件を悪用リストに追加 - 米当局