Ivanti Cloud Services Appliance (CSA) のOSコマンドインジェクションの脆弱性（CVE-2024-9380）

何が起きた

Ivanti の Cloud Services Appliance（CSA。社外にある端末を管理するための中継機器）の管理用の Web 画面に、入力に OS のコマンドを紛れ込ませて実行させられる弱点（OS コマンドインジェクション）が見つかりました。悪用されると、機器の上でプログラムを動かされる（リモートコード実行）おそれがあります。ネットワーク経由で離れた場所から悪用できますが、攻撃者は管理者の権限でログインしている必要があります。実際の攻撃での悪用が確認されています。Ivanti によると、CSA 4.6 patch 518 以前を使っていた限られた数の利用者が、別の弱点 CVE-2024-8963 と組み合わせた攻撃を受けました。CSA 5.0 での悪用は確認されていないとしています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Ivanti CSA の 5.0.2 より前の版を使っている組織が対象です。CISA によると、CSA 4.6.x はすでにサポートが終わっています。

何をすればいい

CSA を 5.0.2 以降に更新します。CISA の推奨では、サポートが終わった CSA 4.6.x は使うのをやめるか、5.0.x 以降の系列に移ることが求められています。Ivanti の公式の案内を確認してください。

やることチェックリスト

• CSA を 5.0.2 以降に更新する
• CSA 4.6.x の利用をやめる
• 5.0.x 以降の系列に移る

用語メモ

OS コマンドインジェクション

入力欄などに OS への命令を紛れ込ませ、本来の処理とは別の命令を実行させる攻撃です。

リモートコード実行

離れた場所から、相手のコンピューターで好きなプログラムを動かすことです。