最近の脆弱性 › CVE-2024-13160

Ivanti Endpoint Manager (EPM) のパストラバーサルの脆弱性（CVE-2024-13160）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2024-13160
製品	Ivanti Endpoint Manager (EPM)
深刻度（CVSS）	7.5 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`
KEVへの追加日	2025-03-10
米国政府機関の対応期限	2025-03-31
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-36

何が起きた

パソコンなどの端末をまとめて管理する Ivanti Endpoint Manager (EPM) に、絶対パストラバーサル（ファイルの場所の指定を悪用して、本来見せないファイルにたどり着く手口）の弱点が見つかり、実際に悪用が確認されています。悪用されると、秘密にすべき情報が漏れるおそれがあります。NVD の評価では、ネットワーク経由で、ログインなしに、利用者の操作もなしに悪用できます。CVE の記録では、CVE-2024-13159、CVE-2024-13160、CVE-2024-13161 の3件が、同じ Ivanti の勧告を参照しています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

CVE の記録では、Ivanti EPM 2024 と EPM 2022 SU6 で、2025年1月のセキュリティ更新（January-2025 Security Update）を当てていないものが対象です。NVD の対象範囲の登録では、EPM 2024、EPM 2022（SU1 から SU6 を含む）に加えて、EPM 2022 より前の版も影響を受けるとされています。

何をすればいい

Ivanti の勧告に従って、EPM 2024 は 2024 January-2025 Security Update を、EPM 2022 SU6 は 2022 SU6 January-2025 Security Update を、Core server とリモートコンソールに当ててください。最初に出たパッチを入れた場合は、既知の問題を直した V2 のパッチも入れる必要があります。EPM 2022 SU6 より前の版を使っている場合の対応は、Ivanti に確かめてください。

やることチェックリスト

EPM 2024 に January-2025 の更新を適用する
EPM 2022 SU6 に January-2025 の更新を適用する
EPM の版と適用済みの更新を確認する

用語メモ

パストラバーサル: ファイルの場所の指定を細工して、本来は見られないファイルを読み出す攻撃です。
Endpoint Manager (EPM): 会社のパソコンなどの端末を、まとめて管理するための Ivanti のソフトウェアです。

元データ（英語・CISA KEV より）

Ivanti Endpoint Manager (EPM) Absolute Path Traversal Vulnerability

概要

Ivanti Endpoint Manager (EPM) contains an absolute path traversal vulnerability that allows a remote unauthenticated attacker to leak sensitive information.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.