• ひとことでIvanti EPMM で、ログインせずに一部の API を使えてしまう弱点です。
  • 深刻度9.8 緊急CVSS v3.1
  • まずやること修正パッチを当てて最新の修正版に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2023-35078
製品Ivanti Endpoint Manager Mobile (EPMM)
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2023-07-25
米国政府機関の対応期限2023-08-15
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-287（認証の不備）

何が起きた

Ivanti Endpoint Manager Mobile (EPMM) に、ログインの確認をすり抜けて、特定の API（外部からの操作の窓口）に入れてしまう弱点が見つかりました。攻撃者はネットワーク経由で、ログインもせず、利用者の操作もなしに悪用できます。悪用されると、利用者の名前や電話番号などの個人情報が見られたり、登録された端末にソフトを入れる、セキュリティの設定を変えるといった操作をされたりするおそれがあります。実際の悪用が確認されており、ランサムウェアでの悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がネットワークから EPMM に接続する → 2. ログインせずに特定の API を呼び出す → 3. 利用者の個人情報を読み取る → 4. 端末の設定変更やソフトの導入を行う1攻撃者がネットワークから EPMM に接続する2ログインせずに特定の API を呼び出す3利用者の個人情報を読み取る4端末の設定変更やソフトの導入を行う攻撃の流れ: 1. 攻撃者がネットワークから EPMM に接続する → 2. ログインせずに特定の API を呼び出す → 3. 利用者の個人情報を読み取る → 4. 端末の設定変更やソフトの導入を行う1攻撃者がネットワークから EPMM に接続する2ログインせずに特定の API を呼び出す3利用者の個人情報を読み取る4端末の設定変更やソフトの導入を行う攻撃の流れ: 1. 攻撃者がネットワークから EPMM に接続する → 2. ログインせずに特定の API を呼び出す → 3. 利用者の個人情報を読み取る → 4. 端末の設定変更やソフトの導入を行う1攻撃者がネットワークから EPMM に接続する2ログインせずに特定の API を呼び出す3利用者の個人情報を読み取る4端末の設定変更やソフトの導入を行う

誰が影響を受ける

Ivanti Endpoint Manager Mobile (EPMM)（以前の名前は MobileIron Core）を使って、スマートフォンなどの端末を管理している組織が対象です。Ivanti によると、サポート中の 11.10、11.9、11.8 のすべてが影響を受け、それより古いバージョンも危険があります。NVD の情報では、11.10.0.2、11.9.1.1、11.8.1.1 より前のバージョンが対象とされています。

何をすればいい

Ivanti の公式の案内を確認し、配布されている修正パッチを当ててください。NVD の情報をもとにすると、11.10.0.2、11.9.1.1、11.8.1.1 以降になっているか確認します。サポート対象より古いバージョンを使っている場合は、Ivanti が用意した RPM スクリプトでの対処が案内されています。対策ができない場合は、製品の利用をやめることも検討してください。

やることチェックリスト

  • 修正パッチを当てて最新の修正版に更新する
  • 古いバージョンでは RPM スクリプトで対処する
  • 対策できなければ製品の利用をやめる

用語メモ

API 用語集で見る
ソフトウェアを外部のプログラムから操作するための窓口です。決まった形で依頼を送ると、データの取得や設定の変更ができます。
ランサムウェア 用語集で見る
データを使えない状態にして、元に戻す代わりに身代金を求める悪意のあるソフトです。
RPM スクリプト
Linux の部品をまとめた形式（RPM）で配られる、修正用の手順をまとめたプログラムです。

次に読む

同じ製品・メーカーの脆弱性Ivanti Endpoint Manager Mobile (EPMM)（CVE-2026-6973）7.2 重要CVSS v3.1Ivanti EPMMで、入力のチェック不足から管理者が遠隔でプログラムを動かせる弱点です。同じ製品・メーカーの脆弱性Ivanti Endpoint Manager Mobile (EPMM)（CVE-2026-1340）9.8 緊急CVSS v3.1Ivanti EPMM で、ログインなしに外から命令を実行されるおそれがある弱点です。基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Ivanti Endpoint Manager Mobile Authentication Bypass Vulnerability

概要

Ivanti Endpoint Manager Mobile (EPMM, previously branded MobileIron Core) contains an authentication bypass vulnerability that allows unauthenticated access to specific API paths. An attacker with access to these API paths can access personally identifiable information (PII) such as names, phone numbers, and other mobile device details for users on a vulnerable system. An attacker can also make other configuration changes including installing software and modifying security profiles on registered devices.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る