Ivantiのリモートアクセス製品に複数脆弱性 - 「クリティカル」も

Ivantiは、リモートアクセス製品「Ivanti Connect Secure（旧Pulse Connect Secure）」および「Ivanti Policy Secure」に脆弱性が明らかになったとしてアップデートをリリースした。

現地時間12月10日にセキュリティアドバイザリを公開し、5件の脆弱性について明らかにしたもの。「Ivanti Connect Secure」は5件いずれも、「Ivanti Policy Secure」については1件が影響を受けるとしている。

「CVE-2024-11634」は両製品が影響を受けるコマンドインジェクションの脆弱性。管理者権限を持つ場合に、リモートよりコードの実行が可能となる。一方「CVE-2024-11633」は引数インジェクションの脆弱性で、悪用には管理者権限が必要となるが、同じくリモートよりコードの実行が可能となる。

共通脆弱性評価システム「CVSSv3.0」のベーススコアはともに「9.1」と評価されており、重要度は「クリティカル（Critical）」とレーティングされている。

のこる3件の脆弱性「CVE-2024-37377」「CVE-2024-37401」「CVE-2024-9844」は、CVSS基本値が「7.5」から「7.1」と評価されており、いずれも重要度は「高（High）」とした。

アドバイザリのリリース時点で、脆弱性の悪用は確認されていない。同社は脆弱性を解消した「Ivanti Connect Secure 22.7R2.4」「Ivanti Policy Secure 22.7R1.2」を提供しており、アップデートを呼びかけている。

（Security NEXT - 2024/12/11 ）ツイート