最近の脆弱性 › CVE-2023-46805

Ivanti Connect Secure and Policy Secure の認証回避の脆弱性（CVE-2023-46805）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2023-46805
製品	Ivanti Connect Secure and Policy Secure
深刻度（CVSS）	8.2 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N`
KEVへの追加日	2024-01-10
米国政府機関の対応期限	2024-01-22
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-287

何が起きた

Ivanti Connect Secure（ICS、以前の名前は Pulse Connect Secure）と Ivanti Policy Secure の Web の部品に、本来必要な確認をすり抜けて、制限された場所にアクセスできてしまう弱点（認証回避）が見つかりました。NVD の評価では、ログイン不要の攻撃者がネットワーク経由で、利用者の操作なしに悪用できます。CISA によると、この弱点はコマンドインジェクションの弱点 CVE-2024-21887 と組み合わせて悪用できるとされ、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Ivanti Connect Secure の 9.x と 22.x、および Ivanti Policy Secure を使っている組織が対象です。Ivanti によると、サポート中のすべての版が影響を受けます。CVE の記録では、Connect Secure は 9.1R18 と 22.6R2 まで、Policy Secure は 9.1R18 と 22.6R1 までが影響を受ける版として載っています。

何をすればいい

Ivanti は、Connect Secure の 9.1R14.4、9.1R17.2、9.1R18.3、22.4R2.2、22.5R1.1、22.5R2.2 と、Policy Secure の 22.5R1.1 などに向けて修正パッチを公開しています。このパッチは、この弱点と CVE-2024-21887 を含む4つの弱点をまとめて直します。パッチを当てるまでの間に使える回避策も Ivanti から出ており、パッチを当てた場合は回避策は不要とされています。対策が取れない場合、CISA は製品の使用をやめることを求めています。

やることチェックリスト

Connect Secure と Policy Secure の版を確かめる
Ivanti の修正パッチを適用する
パッチを当てるまでは回避策を適用する

用語メモ

認証回避: ログインなどの本人確認をすり抜けて、許されていない操作や場所に入れてしまう弱点です。
コマンドインジェクション: 外から送った文字列が、機器の命令（コマンド）として実行されてしまう弱点です。
ランサムウェア: ファイルを暗号化して使えなくし、元に戻す代わりにお金を要求する悪意のあるプログラムです。

元データ（英語・CISA KEV より）

Ivanti Connect Secure and Policy Secure Authentication Bypass Vulnerability

概要

Ivanti Connect Secure (ICS, formerly known as Pulse Connect Secure) and Ivanti Policy Secure gateways contain an authentication bypass vulnerability in the web component that allows an attacker to access restricted resources by bypassing control checks. This vulnerability can be leveraged in conjunction with CVE-2024-21887, a command injection vulnerability.

推奨対応

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.