Ivantiの複数製品に脆弱性 - 「EPM」の更新は11月以降

Ivantiは現地時間2025年10月14日、セキュリティアドバイザリ3件を公開し、各製品における脆弱性について明らかにした。一部製品ではアップデートのリリースが2025年11月および2026年3月となる見込み。

「Endpoint Manager Mobile（EPMM）」では、4件の脆弱性へ対処した。管理パネルにおけるコマンドインジェクションの脆弱性「CVE-2025-10242」「CVE-2025-10243」「CVE-2025-10985」が確認されており、いずれも共通脆弱性評価システム「CVSSv3.0」のベーススコアは「7.2」、重要度は「高（High）」としている。

重要度が「中（Medium）」とされるパストラバーサルの脆弱性「CVE-2025-10986」も判明した。脆弱性の悪用は確認されていない。同社ではこれら脆弱性を修正した「EPMM 12.6.0.2」「同12.5.0.4」「同12.4.0.4」を提供している。

また「Ivanti Neurons for MDM」では、多要素認証をバイパスできる脆弱性、認可の欠如の脆弱性など3件の脆弱性が明らかとなった。脆弱性の悪用などは確認されていない。

CVSS基本値は「8.1」「8.0」「5.3」としたが、いずれも基準を満たしていないためにCVE番号は採番されないと説明。同社は脆弱性を修正した「同R119」を用意。10月10日に全環境へ適用済みとしている。

（Security NEXT - 2025/10/21 ） ツイート

PR

関連記事

「M365 Copilot」にオープンリダイレクトの脆弱性 - すでに修正済み
「Apache ActiveMQ」にRCE脆弱性 - 悪用が確認され「KEV」にも登録
「MOVEit WAF」に検知回避の深刻な脆弱性 - 早急な対策を
「Firefox 150」を公開 - 41件の脆弱性を修正
「OpenVPN」向けSSO連携ツールに認証回避の脆弱性
「Chrome」にアップデート - セキュリティ関連で19件の修正
「Chrome」が脆弱性31件を修正 - 5件は「クリティカル」
WooCommerce向け「Visa決済プラグイン」に認証回避の脆弱性
Windowsイベントログ分析ツール「LogonTracer」に複数の脆弱性
「Progress Kemp LoadMaster」に複数脆弱性 - 修正版を提供