Ivantiの複数製品に脆弱性 - 「EPM」の更新は11月以降

Ivantiは現地時間2025年10月14日、セキュリティアドバイザリ3件を公開し、各製品における脆弱性について明らかにした。一部製品ではアップデートのリリースが2025年11月および2026年3月となる見込み。

「Endpoint Manager Mobile（EPMM）」では、4件の脆弱性へ対処した。管理パネルにおけるコマンドインジェクションの脆弱性「CVE-2025-10242」「CVE-2025-10243」「CVE-2025-10985」が確認されており、いずれも共通脆弱性評価システム「CVSSv3.0」のベーススコアは「7.2」、重要度は「高（High）」としている。

重要度が「中（Medium）」とされるパストラバーサルの脆弱性「CVE-2025-10986」も判明した。脆弱性の悪用は確認されていない。同社ではこれら脆弱性を修正した「EPMM 12.6.0.2」「同12.5.0.4」「同12.4.0.4」を提供している。

また「Ivanti Neurons for MDM」では、多要素認証をバイパスできる脆弱性、認可の欠如の脆弱性など3件の脆弱性が明らかとなった。脆弱性の悪用などは確認されていない。

CVSS基本値は「8.1」「8.0」「5.3」としたが、いずれも基準を満たしていないためにCVE番号は採番されないと説明。同社は脆弱性を修正した「同R119」を用意。10月10日に全環境へ適用済みとしている。

（Security NEXT - 2025/10/21 ） ツイート

PR

関連記事

「FortiOS」の「SSL VPN」脆弱性に関するアドバイザリを更新
「Splunk Enterprise」にアップデート - 「クリティカル」脆弱性など解消
「Cisco ISE」にRCE脆弱性 - 端末の接続に影響するおそれも
ロードバランサ「HAProxy」に脆弱性 - 同期破壊のおそれ
「Webmin」に認証バイパスなど複数の脆弱性 - 最新版で修正
6月公表の「Splunk Enterprise」脆弱性、悪用を確認
FWやVPNの認証情報を攻撃者が大量保有 - 「FortiBleed」に要警戒
「nginx」に複数のクリティカル脆弱性 - 修正版が公開
「Splunk」向けのAI拡張ツールに複数の脆弱性
「Chrome」が脆弱性33件を修正 - 「クリティカル」7件