Ivantiの複数製品に深刻な脆弱性 - 早急なパッチ適用を強く推奨

Ivantiは、同社が提供する2製品「Ivanti Neurons for ITSM」「Ivanti Standalone Sentry」に深刻な脆弱性が含まれていることを明らかにした。早急に対策を講じることを強く推奨している。

ITサービスの管理ソリューションである「Ivanti Neurons for ITSM」では、認証されたユーザーが、同製品のサーバに対してリモートよりファイルの書き込みが可能となる脆弱性「CVE-2023-46808」が明らかとなった。

「同2023.3」「同2023.2」「同2023.1」のほか、すでにサポートが終了しているバージョンも影響を受ける。共通脆弱性評価システム「CVSSv3.0」においてベーススコアを「9.9」と評価している。

一方エンドポイント管理製品と連携し、アクセス制御などを行う「Ivanti Standalone Sentry」では、隣接するネットワーク内より認証なしにOS上でコマンドの実行が可能となる「CVE-2023-41724」が明らかとなった。

「CVSSv3.1」のベーススコアは「9.6」。「同9.19.0」「同9.18.0」「同9.17.0」および以前のバージョンが影響を受けるとしている。

いずれもアドバイザリが公開された時点で脆弱性の悪用は確認されていないという。同社では脆弱性を修正するパッチを提供しており、早急に対策を講じるよう利用者に呼びかけている。

（Security NEXT - 2024/03/22 ）ツイート