「Ivanti CSA」に深刻な脆弱性 - 管理者権限を奪われるおそれ

「Ivanti Cloud Services Application（CSA）」に複数の深刻な脆弱性が明らかとなった。脆弱性に対処したセキュリティアップデートを提供している。

Ivantiが現地時間12月10日にセキュリティアドバイザリを公表し、3件の脆弱性について明らかにしたもの。公表時点でいずれも悪用は確認されていないという。

具体的には、リモートより認証をバイパスしてウェブ管理画面にアクセスし、管理権限を取得できる「CVE-2024-11639」が判明。

悪用には管理者権限が必要とされるが、コマンドインジェクションの脆弱性「CVE-2024-11772」と、SQLインジェクションの脆弱性「CVE-2024-11773」があわせて明らかとなっている。

共通脆弱性評価システム「CVSSv3.0」のベーススコアを見ると「CVE-2024-11639」が最高値となる「10.0」、のこる2件についてはともに「9.1」としている。重要度はいずれも4段階中もっとも高い「クリティカル（Critical）」とした。

これら脆弱性は「同5.0.2」および以前のバージョンに存在し、同社は脆弱性を解消した「同5.0.3」をリリース。利用者へアップデートを呼びかけている。

（Security NEXT - 2024/12/11 ）ツイート