IvantiのVPNやアクセス制御製品に複数の脆弱性 - 「クリティカル」も

Ivantiが提供する「Ivanti Connect Secure（ICS）」など、リモートアクセス製品やアクセス制御製品に複数の深刻な脆弱性が判明した。アップデートが提供されている。

同社は2025年2月11日にセキュリティアドバイザリを公開し、VPNソリューションである「Ivanti Connect Secure（ICS）」やアクセス制御機能を提供する「Ivanti Policy Secure（IPS）」に関するあわせて7件の脆弱性を明らかにしたもの。

「CVE-2025-22467」は、「ICS」に判明したスタックベースのバッファオーバーフローの脆弱性。悪用には低権限が必要だが、リモートよりコードの実行が可能となる。

また「ICS」や「IPS」において、管理者権限が必要となるが、リモートより任意のファイルを書き込むことができる「CVE-2024-38657」や、コードインジェクションの脆弱性「CVE-2024-10644」が明らかとなった。

共通脆弱性評価システム「CVSSv3.0」のベーススコアは、「CVE-2025-22467」が「9.9」と高く、「CVE-2024-38657」および「CVE-2024-10644」が「9.1」と続く。いずれも重要度は4段階中もっとも高い「クリティカル（Critical）」と評価されている。

（Security NEXT - 2025/02/12 ）ツイート