Ivanti Endpoint Manager Cloud Service Appliance (EPM CSA) のコードインジェクションの脆弱性（CVE-2021-44529）

何が起きた

Ivanti の Endpoint Manager Cloud Service Appliance (EPM CSA) に、外から送り込んだコードを実行させられる弱点（コードインジェクション）が見つかりました。ログインしていない利用者が、nobody という制限された権限で、悪意のあるコードを実行できます。ネットワーク経由で、利用者の操作なしに悪用でき、実際の悪用が確認されています。ランサムウェアでの悪用も知られています（CISA の KEV より）。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Ivanti の EPM CSA を使っている組織が対象です。影響を受けるバージョンとして、CVE の記録では 4.6.0-512 が、NVD では 4.5 以前と 4.6 が挙げられていて、資料によって書き方が違います。Ivanti の勧告を開けなかったため、修正版の番号はこのデータからは不明です。

何をすればいい

Ivanti のセキュリティ勧告 SA-2021-12-02 に従って、更新や対策をしてください。CISA は、対策ができない場合は製品の使用をやめるよう勧めています。Ivanti の公式の案内を確認し、自分の CSA の版が対象かを確かめてください。

やることチェックリスト

• 勧告 SA-2021-12-02 の更新や対策を適用する
• 勧告で自分の CSA の版が対象か確かめる
• 対策ができなければ CSA の利用をやめる

用語メモ

コードインジェクション

攻撃者が用意したプログラムの断片を、相手のシステムに実行させる攻撃です。

nobody

Linux などで、できることを最小限に制限した特別な利用者の名前です。