Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

Ivanti製品のあらたなゼロデイ脆弱性 - 米当局が3日以内の対応を要請

「Ivanti Connect Secure(旧Pulse Connect Secure)」「Ivanti Policy Secure」にあらたなゼロデイ脆弱性「CVE-2024-21893」が判明したことを受け、米当局は現地時間1月31日、米行政機関に対して3日以内に対策を講じるよう要請した。

米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)が現地時間1月31日に「CVE-2024-21893」を「悪用が確認された脆弱性カタログ(KEV)」へ追加したもの。

両製品に関しては、2024年1月に入り「CVE-2023-46805」「CVE-2024-21887」同カタログへ追加されている。米国内の行政機関では現地時間1月22日までに緩和策など講じることが必須とされたほか、1月19日には緊急指令「ED 24-01」が発行されている。

Ivantiでは、現地時間1月31日に脆弱性を修正するパッチを一部バージョンに向けてリリースしたが、同社は同時にあらたな脆弱性「CVE-2024-21888」「CVE-2024-21893」を公表。あわせて修正したことを明らかにした。

なかでも「SAMLコンポーネント」に判明したサーバサイドリクエストフォージェリ(SSRF)の脆弱性「CVE-2024-21893」について、Ivantiは限定的としながらもすでに悪用が確認されている。こうした状況を受け、CISAでは「KEV」へ「CVE-2024-21893」を追加するとともに、対応期限を現地時間2月2日と定め、米行政機関へ対応を促した。

Ivantiでは、修正パッチにくわえて未提供のバージョンに対し、緩和策を用意している。脆弱性が公表されたことから、今後さらに悪用が広がることも懸念されており、行政機関に限らず、「CVE-2024-21893」についても悪用へ警戒する必要がある。

(Security NEXT - 2024/02/01 ) このエントリーをはてなブックマークに追加

PR

関連記事

メール送信時の人為ミスで関係者のアドレス流出 - 日本財団学生ボランティアセンター
ワークフロー管理の「Apache DolphinScheduler」に脆弱性
SonicWall「SMA 100シリーズ」の多要素認証機能に脆弱性
一部SonicWall製ファイアウォールの「SSL VPN機能」に脆弱性 - 認証バイパスのおそれ
Atlassian、「Confluence」など複数製品にセキュリティアップデート
GitLabが2月2度目のアップデート、脆弱性やバグに対応
ランサムリークサイト、年間約4000件の投稿 - 身代金支払うも約2割で反古
ランサムウェア被害のイズミ、完全復旧目標は5月1日
イズミ、ランサム被害で宅配など一部サービスを停止 - 新店舗オープンを延期
サイクリングイベント申込フォームでミス、個人情報が流出 - 倉敷市