Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

Ivanti製リモートアクセス製品に再び脆弱性 - 悪用は未確認

Ivantiが提供するリモートアクセス製品「Ivanti Connect Secure(旧Pulse Connect Secure)」「Ivanti Policy Secure」にあらたな脆弱性が明らかとなった。悪用は確認されていないが、早急に対策を講じるよう呼びかけられている。

現地時間2月8日にセキュリティアドバイザリを公開し、「SAMLコンポーネント」における「XML外部実体参照(XXE)」の脆弱性「CVE-2024-22024」について明らかにしたもの。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.3」と評価されている。

一部サポート中のバージョンに影響があり、具体的には「Ivanti Connect Secure 22.5R1.1」「同22.4R2.2」「同9.1R18.3」「同9.1R17.2」「同9.1R14.4」「Ivanti Policy Secure 22.5R1.1」「ZTA 22.6R1.3」を対象として挙げた。

同社は、脆弱性を修正した「Ivanti Connect Secure 22.6R2.2」「同22.5R2.3」「同22.5R1.2」「同22.4R2.3」「同9.1R18.4」「同9.1R17.3」「同9.1R14.5」「Ivanti Policy Secure 22.5R1.2」「同9.1R18.4」「同9.1R17.3」および「ZTA 22.6R1.7」「同22.6R1.5」「同22.5R1.6」を提供している。

また同社が1月31日に提供した軽減策は今回判明した脆弱性への対策にも効果があり、現在も提供している。

脆弱性は内部でコードをレビューした際に発見したもので、悪用などは確認されていないとしているが、早急に対策を講じるよう求めている。

(Security NEXT - 2024/02/09 ) このエントリーをはてなブックマークに追加

PR

関連記事

IvantiのVPN製品脆弱性、限定的な攻撃から多様な攻撃へと発展
Ivanti製品のあらたなゼロデイ脆弱性 - 米当局が3日以内の対応を要請
Ivantiがアップデートをリリース - あらたなゼロデイ脆弱性も公表
Ivanti製品、パッチ提供に遅れ - 緩和策を回避する攻撃も
Ivanti脆弱性、PoC公開で攻撃増 - 痕跡消去の可能性も踏まえ調査を
米政府、IvantiのVPN製品脆弱性を受けて緊急指令
Ivanti製VPN製品のゼロデイ脆弱性、PoCが公開 - 復旧時は再発防ぐ対応を
IvantiのMDM製品に見つかった脆弱性に対する攻撃が発生
Ivanti製VPNに対する脆弱性攻撃の被害が拡大 - 少なくとも1700件の侵害
Ivanti製品のゼロデイ脆弱性、JPCERT/CCが注意喚起