「Ivanti EPMM」狙う脆弱性連鎖攻撃、米当局がマルウェアを解析

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、「Ivanti Endpoint Manager Mobile（EPMM）」を標的とした攻撃事例を分析し、レポートとして取りまとめた。「IoC（Indicators of Compromise）」情報を提供し、注意を呼びかけている。

標的とされた脆弱性は、現地時間2025年5月13日にIvantiよりアドバイザリが公開された認証回避の脆弱性「CVE-2025-4427」、および権限を持つ場合に任意のコードを実行できるコードインジェクションの脆弱性「CVE-2025-4428」。公開時より攻撃が確認されており、同月19日には「悪用が確認された脆弱性カタログ（KEV）」に追加されている。

共通脆弱性評価システム「CVSSv3.0」のベーススコアはそれぞれ「5.3」「7.2」、重要度は「中（Medium）」「高（High）」とされるが、これら脆弱性を組み合わせることでサーバにマルウェアを設置するなど攻撃が可能だった。

さらに5月15日ごろ、概念実証コード（PoC）が公開されたことで、これら脆弱性を連鎖した攻撃が「Ivanti EPMM」を標的に展開された。CISAでは侵害された組織から、2種類のマルウェアを入手し、分析を行った。

いずれのマルウェアも悪意ある命令を外部より待ち受ける「リスナー」を実行するプログラムが含まれる。攻撃者は侵害されたサーバ上で任意のコードを実行することが可能だった。

（Security NEXT - 2025/09/19 ） ツイート

PR

関連記事

Ivantiのエンドポイント管理やリモートアクセス製品に脆弱性
「ICS」や「Avalanche」などIvanti複数製品に脆弱性
「EPM」や「EPMM」などIvanti複数製品に脆弱性 - 悪用は未確認
「Ivanti Workspace Control」に複数脆弱性 - アップデートを公開
米政府、脆弱性6件の悪用に注意喚起 - メールや社内チャットなども標的に
「Ivanti EPMM」にOSS起因の脆弱性、すでに悪用も - 国内で機器稼働
「Ivanti Neurons for ITSM」に認証回避の脆弱性 - 管理者権限奪取のおそれ
「Ivanti EPM」に複数の脆弱性 - 修正版をリリース
米当局、Ivanti製品の脆弱性に注意喚起 - 侵害痕跡なくとも初期化検討を
あらたなIvanti脆弱性 - パッチ分析で特定し、3月中旬より攻撃展開か