CVEノート

最近の脆弱性 › CVE-2023-35078

Ivanti Endpoint Manager Mobile (EPMM) の認証回避の脆弱性（CVE-2023-35078）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2023-35078
製品Ivanti Endpoint Manager Mobile (EPMM)
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2023-07-25
米国政府機関の対応期限2023-08-15
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-287

何が起きた

Ivanti Endpoint Manager Mobile (EPMM) に、ログインの確認をすり抜けて、特定の API（外部からの操作の窓口）に入れてしまう弱点が見つかりました。攻撃者はネットワーク経由で、ログインもせず、利用者の操作もなしに悪用できます。悪用されると、利用者の名前や電話番号などの個人情報が見られたり、登録された端末にソフトを入れる、セキュリティの設定を変えるといった操作をされたりするおそれがあります。実際の悪用が確認されており、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がネットワークから EPMM に接続する → 2. ログインせずに特定の API を呼び出す → 3. 利用者の個人情報を読み取る → 4. 端末の設定変更やソフトの導入を行う1攻撃者がネットワークから EPMM に接続する2ログインせずに特定の API を呼び出す3利用者の個人情報を読み取る4端末の設定変更やソフトの導入を行う攻撃の流れ: 1. 攻撃者がネットワークから EPMM に接続する → 2. ログインせずに特定の API を呼び出す → 3. 利用者の個人情報を読み取る → 4. 端末の設定変更やソフトの導入を行う1攻撃者がネットワークから EPMM に接続する2ログインせずに特定の API を呼び出す3利用者の個人情報を読み取る4端末の設定変更やソフトの導入を行う

誰が影響を受ける

Ivanti Endpoint Manager Mobile (EPMM)（以前の名前は MobileIron Core）を使って、スマートフォンなどの端末を管理している組織が対象です。Ivanti によると、サポート中の 11.10、11.9、11.8 のすべてが影響を受け、それより古いバージョンも危険があります。NVD の情報では、11.10.0.2、11.9.1.1、11.8.1.1 より前のバージョンが対象とされています。

何をすればいい

Ivanti の公式の案内を確認し、配布されている修正パッチを当ててください。NVD の情報をもとにすると、11.10.0.2、11.9.1.1、11.8.1.1 以降になっているか確認します。サポート対象より古いバージョンを使っている場合は、Ivanti が用意した RPM スクリプトでの対処が案内されています。対策ができない場合は、製品の利用をやめることも検討してください。

やることチェックリスト

用語メモ

API
ソフトウェアを外部のプログラムから操作するための窓口です。決まった形で依頼を送ると、データの取得や設定の変更ができます。
ランサムウェア
データを使えない状態にして、元に戻す代わりに身代金を求める悪意のあるソフトです。
RPM スクリプト
Linux の部品をまとめた形式（RPM）で配られる、修正用の手順をまとめたプログラムです。

元データ（英語・CISA KEV より）

Ivanti Endpoint Manager Mobile Authentication Bypass Vulnerability

概要

Ivanti Endpoint Manager Mobile (EPMM, previously branded MobileIron Core) contains an authentication bypass vulnerability that allows unauthenticated access to specific API paths. An attacker with access to these API paths can access personally identifiable information (PII) such as names, phone numbers, and other mobile device details for users on a vulnerable system. An attacker can also make other configuration changes including installing software and modifying security profiles on registered devices.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

公式情報