IvantiのVPNやアクセス制御製品に複数の脆弱性 - 「クリティカル」も
Ivantiが提供する「Ivanti Connect Secure(ICS)」など、リモートアクセス製品やアクセス制御製品に複数の深刻な脆弱性が判明した。アップデートが提供されている。
同社は2025年2月11日にセキュリティアドバイザリを公開し、VPNソリューションである「Ivanti Connect Secure(ICS)」やアクセス制御機能を提供する「Ivanti Policy Secure(IPS)」に関するあわせて7件の脆弱性を明らかにしたもの。
「CVE-2025-22467」は、「ICS」に判明したスタックベースのバッファオーバーフローの脆弱性。悪用には低権限が必要だが、リモートよりコードの実行が可能となる。
また「ICS」や「IPS」において、管理者権限が必要となるが、リモートより任意のファイルを書き込むことができる「CVE-2024-38657」や、コードインジェクションの脆弱性「CVE-2024-10644」が明らかとなった。
共通脆弱性評価システム「CVSSv3.0」のベーススコアは、「CVE-2025-22467」が「9.9」と高く、「CVE-2024-38657」および「CVE-2024-10644」が「9.1」と続く。いずれも重要度は4段階中もっとも高い「クリティカル(Critical)」と評価されている。
(Security NEXT - 2025/02/12 )
ツイート
関連リンク
PR
関連記事
「ConnectWise ScreenConnect」に脆弱性 - 修正版が公開
NETSCOUT「nGeniusONE」に複数の脆弱性 - アップデートで修正
Python向けHTTPライブラリに脆弱性 - リクエストスマグリング攻撃のおそれ
ゼロデイ攻撃は8カ月以上前 - 「Active! mail」脆弱性の影響拡大に懸念
「Erlang/OTP」脆弱性、一部Cisco製品で影響が判明
「ActiveMQ NMS OpenWire Client」にRCE脆弱性 - 修正版が公開
「GitHub Enterprise Server」に複数脆弱性 - アップデートで修正
NVIDIA製GPUドライバに複数の脆弱性 - 権限昇格やDoSのおそれ
トレンドの法人向け複数製品に脆弱性 - アップデートで修正
「Erlang/OTP」に深刻なRCE脆弱性 - 概念実証コードも公開済み