Ivanti製品の侵害、以前のツールでは検証回避のおそれ

リモートアクセス製品「Ivanti Connect Secure（旧Pulse Connect Secure）」「Ivanti Policy Secure Gateway」に深刻な脆弱性が判明し、悪用が広がっている問題に関連し、米国をはじめとする海外セキュリティ機関は、過去に提供された「整合性チェックツールICT」では侵害を検知できないケースがあることを明らかにした。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）や米連邦捜査局（FBI）をはじめ、イギリス、カナダ、オーストラリア、ニュージランドなどのセキュリティ機関が共同でアドバイザリをリリースし、製品の利用者に注意を呼びかけたもの。

Ivantiでは、これまで侵害状況を確認できるよう「内部整合性チェックツール（In-Build ICT）」「外部整合性チェックツール（external ICT）」を提供してきたが、CISAでは複数のインシデント対応を通じてこれらツールで侵害を検出できないケースがあったと指摘。ツールでファイル不一致がないとされたシステムからもウェブシェルが見つかり、信頼性がないことを確認した。

攻撃者がアプライアンスを「クリーンな状態」を偽装することもでき、CISAのラボ環境において過去の「整合性チェックツール」が侵害を検出するのに十分でなかったことを確認。工場出荷時の状態へリセットした場合も、引き続きroot権限によるアクセスを獲得できる可能性があるとし、概念実証（PoC）を公開している。

アドバイザリでは、影響を受けるアプライアンス内に保存されているユーザーやサービスアカウントの認証情報については、侵害されているものと仮定すべきと指摘。

アドバイザリで示した検出方法や「IoC（Indicators of Compromise）」情報を使用してネットワークにおける悪意のある活動を追跡したり、2月27日に公開された最新の「外部整合性チェックツール」を実行してパッチ適用のガイダンスに従い、対応することを求めている。

（Security NEXT - 2024/03/01 ）ツイート

Ivanti製品の侵害、以前のツールでは検証回避のおそれ

関連リンク

PR

関連記事