Ivanti、API 認証バイパスの脆弱性に対する緊急パッチを提供

Aug 29, 2023

Ivanti Sentry (旧 MobileIron Sentry) 製品に重大度の重大な脆弱性があり、機密の API データと構成が漏洩します。

による

フリップボード

レディット

ピンタレスト

ワッツアップ

ワッツアップ

Eメール

Ivanti では、企業向け製品のセキュリティ上の欠陥に関する問題が山積し始めています。

ITソフトウェア会社は月曜日、Ivanti Sentry（旧MobileIron Sentry）製品の重大度の脆弱性に対する緊急パッチを出荷し、ハッカーがこの問題を悪用して機密性の高いAPIデータや設定にアクセスする可能性があると警告した。

CVE-2023-38035 としてタグ付けされたこの脆弱性は、Ivanti Sentry バージョン 9.18 以前に影響し、悪意のあるハッカーによって悪用されて、構成の変更、システム コマンドの実行、またはシステムへのファイルの書き込みが行われる可能性があると Ivanti はアドバイザリーで述べています。

「この脆弱性が悪用されると、認証されていない攻撃者が、管理者ポータル (ポート 8443、一般的に MICS) で Ivanti Sentry を構成するために使用される一部の機密 API にアクセスできるようになります」と同社は述べています。

この問題の CVSS 重大度スコアは 9.8/10 ですが、ポート 8443 をインターネットに公開していない企業管理者にとって悪用されるリスクは低いと Ivanti 氏は述べています。

「Ivanti は顧客に対し、MICS へのアクセスを内部管理ネットワークに制限し、これをインターネットに公開しないことを推奨しています」と同社は述べています。

Ivanti は、「CVE-2023-38035 の影響を受ける顧客の数が限られていることを認識している」と述べていますが、この問題がゼロデイとして実際に悪用されているかどうかはまだ明らかではありません。

Avalanche Enterprise MDM 製品ラインの重大な欠陥に対するパッチのリリース、Ivanti EPMM の脆弱性の実際の悪用、および Ivanti のゼロデイ欠陥を対象とした APT アクティビティの文書化などにより、Ivanti のセキュリティ問題はここ数カ月で拡大しています。

関連している：Ivanti、Avalanche Enterprise MDM 製品の重大な欠陥を修正

関連している：Ivanti EPMM の脆弱性悪用が増加

関連している：Ivanti Zero-Day が少なくとも 4 月以降 APT によって悪用される

関連している：標的型攻撃に悪用された 2 番目の Ivanti EPMM ゼロデイ バグ

Ryan Naraine は SecurityWeek の編集者であり、人気の Security Conversations ポッドキャスト シリーズのホストです。 彼はセキュリティ コミュニティへの関与の専門家であり、Intel Corp.、Bishop Fox、GReAT などの主要な世界的ブランドでプログラムを構築してきました。 ライアンは、非営利団体 Security Tinkerers の創設ディレクターであり、初期段階の起業家のアドバイザーであり、世界中のセキュリティ カンファレンスで定期的に講演を行っています。

SecurityWeek 電子メール ブリーフィングを購読して、業界の専門家による洞察力に富んだコラムとともに、最新の脅威、トレンド、テクノロジーに関する最新情報を入手してください。

セキュリティの専門家と一緒に、サイバー リスクの軽減とビジネスの強化の両方を実現する ZTNA の未開発の可能性について話し合います。

ソフトウェア サプライ チェーンを保護するための新しい戦略を紹介するウェビナーに Microsoft と Finite State にご参加ください。

SEC のサイバーインシデント開示規則が施行されると、組織はセキュリティリーダーにテーブルの席を与えることを真剣に検討せざるを得なくなるでしょう。(Marc Solomon)

リモート勤務は定着しており、企業は引き続き基本的なコミュニケーション形式が適切に設定され、セキュリティが確保されていることを確認する必要があります。(Matt Honea)

分散クラウド環境の複雑さと課題により、多くの場合、複数のインフラストラクチャ、テクノロジー、セキュリティ スタック、複数のポリシー エンジン、複数のコントロール セット、および複数の資産インベントリの管理が必要になります。(Joshua Goldfarb)

自動セキュリティ制御評価は、セキュリティ制御の存在を単に確認するのではなく、セキュリティ制御の適切で一貫した構成を検証することにより、セキュリティ体制を強化します。(Torsten George)

コンテキストは全体像を完成させるのに役立ち、セキュリティ チームが情報に基づいた意思決定をより迅速に行うために使用できる実用的なインテリジェンスをもたらします。(Matt Wilson)