Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

Ivantiのリモートアクセス製品に複数脆弱性 - アップデートが公開

Ivantiのリモートアクセス製品「Ivanti Connect Secure(旧Pulse Connect Secure)」「Ivanti Policy Secure」にあらたな脆弱性が複数明らかとなった。アドバイザリの公開時点で悪用は確認されていないという。

セキュリティアドバイザリを公開し、あわせて4件の脆弱性について明らかにしたもの。現地時間4月4日の時点で脆弱性の悪用に関する報告はないという。

「CVE-2024-21894」「CVE-2024-22053」は「IPSecコンポーネント」に判明したヒープオーバーフローの脆弱性。いずれも認証を必要とすることなく、細工したリクエストによりDoS攻撃を行うことができる。

さらに「CVE-2024-21894」は、特定の状況下で任意のコードを実行することが可能。「CVE-2024-22053」は、メモリの状況を読み取られるおそれがある。

一方「CVE-2024-22052」は、「NULLポインタ」を逆参照する脆弱性で、同じくk「IPSecコンポーネント」に存在。サービス拒否を引き起こすおそれがある。

「SAMLコンポーネント」には、XML外部実体参照(XXE)の脆弱性「CVE-2024-22023」が含まれる。リソースを枯渇させ、サービス拒否を引き起こすことが可能だとしている。

(Security NEXT - 2024/04/05 ) このエントリーをはてなブックマークに追加

PR

関連記事

Fortraのファイル転送ソリューション「FileCatalyst」に脆弱性
医療ユニフォームメーカーの通販サイトに不正アクセス - 個人情報が流出
Atlassian、6月のセキュリティアドバイザリを公開
ファッション通販「ZOZOTOWN」のAndroidアプリに脆弱性
輸入楽譜専門店の通販サイトに不正アクセス - クレカ情報など流出
事業申込用のフォームで設定ミスが発生 - 川崎市社会福祉協議会
WP向けプラグイン「SiteGuard WP Plugin」に脆弱性 - アップデートを
サイバー攻撃で従業員などの個人情報が流出した可能性 - 森永製菓
学生が患者の個人情報含むカルテの写真をSNSに投稿 - 名古屋大病院
Trellixの不正侵入防止製品に複数脆弱性 - アップデートを