Ivanti複数製品に深刻な脆弱性、概念実証も - アドバイザリが公開

IT資産の管理機能などを提供する「Ivanti Neurons for ITSM」では2件の脆弱性「CVE-2024-7569」「CVE-2024-7570」が明らかとなった。いずれも「OIDC認証」を利用している場合に影響がある。

「CVE-2024-7569」は、認証なしにデバッグ情報経由でクライアントのシークレットを取得できる情報漏洩の脆弱性。

また「CVE-2024-7570」では、マンインザミドル（MITM）攻撃でトークンを作成し、任意のユーザーとしてアクセスが可能となるという。

「CVE-2024-7569」は、CVSS基本値を「9.6」、重要度が「クリティカル（Critical）」とレーティングされている。「CVE-2024-7570」はCVSS基本値を「8.3」、重要度を「高（High）」とした。

外部より協調的に報告を受けたとしており、これら脆弱性の悪用などは確認されていない。同社は脆弱性を修正するパッチを提供している。

（Security NEXT - 2024/08/14 ）ツイート