Ivanti Connect Secure and Policy Secure のコマンドインジェクションの脆弱性（CVE-2024-21887）

何が起きた

Ivanti Connect Secure（ICS、以前の名前は Pulse Connect Secure）と Ivanti Policy Secure の Web の部品に、命令を外から送り込めてしまう弱点（コマンドインジェクション）が見つかりました。ログイン済みの管理者が細工したリクエストを送ると、機器の上で任意の命令を実行できます。NVD の評価では、管理者などの高い権限を持つ攻撃者がネットワーク経由で悪用できます。CISA によると、この弱点は認証を回避する弱点 CVE-2023-46805 と組み合わせて悪用できるとされ、ランサムウェアでの悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Ivanti Connect Secure の 9.x と 22.x、Ivanti Policy Secure の 9.x と 22.x を使っている組織が対象です。Ivanti によると、サポート中のすべての版が影響を受けます。CVE の記録では、Connect Secure は 9.1R18 と 22.6R2 まで、Policy Secure は 9.1R18 と 22.6R1 までが影響を受ける版として載っています。

何をすればいい

Ivanti は、Connect Secure の 9.1R14.4、9.1R17.2、9.1R18.3、22.4R2.2、22.5R1.1、22.5R2.2 と、Policy Secure の 22.5R1.1 などに向けて修正パッチを公開しています。このパッチは、この弱点と CVE-2023-46805 を含む4つの弱点をまとめて直します。パッチを当てるまでの間に使える回避策も Ivanti から出ており、パッチを当てた場合は回避策は不要とされています。対策が取れない場合、CISA は製品の使用をやめることを求めています。

やることチェックリスト

• Connect Secure と Policy Secure の版を確かめる
• Ivanti の修正パッチを適用する
• パッチを当てるまでは回避策を適用する

用語メモ

コマンドインジェクション 用語集で見る

外から送った文字列が、機器の命令（コマンド）として実行されてしまう弱点です。

ランサムウェア 用語集で見る

ファイルを暗号化して使えなくし、元に戻す代わりにお金を要求する悪意のあるプログラムです。

リクエスト

ブラウザーなどが Web サーバーに送る、処理のお願いの通信です。