Ivanti脆弱性、国内でも12月下旬より悪用 - マルウェアにパッチ機能

Ivantiのリモートアクセス製品「Ivanti Connect Secure（ICS）」に脆弱性「CVE-2025-0282」が明らかとなった問題で、国内では2024年12月下旬より攻撃が発生していることがわかった。端末内で動作するマルウェアも巧妙化しており、脆弱性の影響を抑制するパッチ機能なども備えていた。

「CVE-2025-0282」は、「Ivanti Connect Secure」「Ivanti Policy Secure」「Neurons for ZTA Gateways」に判明したリモートよりコードの実行が可能となるスタックベースのバッファオーバーフローの脆弱性。

Ivantiでは現地時間1月8日にセキュリティアドバイザリを公表し、順次パッチをリリースした。「Ivanti Connect Secure」に対するゼロデイ攻撃が確認されており、Google Cloud傘下のMandiantは、遅くとも2024年12月中旬よりゼロデイ攻撃に悪用されていたと指摘している。

JPCERTコーディネーションセンターは、国内においても2024年12月下旬より同脆弱性を悪用した攻撃が発生していると報告。複数の攻撃グループが脆弱性を悪用しており、攻撃に使用するマルウェア「SPAWNCHIMERA」を確認したという。

「SPAWNCHIMERA」は、過去の攻撃で観測された「SPAWNANT」「SPAWNMOLE」「SPAWNSNAIL」といった「SPAWN」ファミリーの機能を統合したあらたなマルウェア。さまざまなプロセス内で動作し、機能の進化もみられるという。

（Security NEXT - 2025/02/13 ） ツイート

PR

関連記事

「FortiOS」の「SSL VPN」脆弱性に関するアドバイザリを更新
「Splunk Enterprise」にアップデート - 「クリティカル」脆弱性など解消
「Cisco ISE」にRCE脆弱性 - 端末の接続に影響するおそれも
ロードバランサ「HAProxy」に脆弱性 - 同期破壊のおそれ
「Webmin」に認証バイパスなど複数の脆弱性 - 最新版で修正
6月公表の「Splunk Enterprise」脆弱性、悪用を確認
FWやVPNの認証情報を攻撃者が大量保有 - 「FortiBleed」に要警戒
「nginx」に複数のクリティカル脆弱性 - 修正版が公開
「Splunk」向けのAI拡張ツールに複数の脆弱性
「Chrome」が脆弱性33件を修正 - 「クリティカル」7件