Ivanti Endpoint Manager Mobile (EPMM) のコードインジェクションの脆弱性（CVE-2025-4428）

何が起きた

Ivanti Endpoint Manager Mobile (EPMM) の API の部分に、細工したリクエストを送ると、攻撃者が任意のコード（攻撃者が好きに選べるプログラム）を実行できる弱点が見つかりました。CISA の KEV によると、原因は Hibernate Validator というオープンソースの部品の、安全でない使い方にあります。NVD の評価ではネットワーク経由で、一般利用者程度の権限を持つ（ログイン済みの）攻撃者が悪用できるとされています（Ivanti 自身の評価では、高い権限が必要とされています）。Ivanti は、ログインを確かめる仕組みをすり抜ける CVE-2025-4427 と組み合わせると、ログインなしでのコード実行につながる可能性があるとしており、実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Ivanti Endpoint Manager Mobile (EPMM) を使っている組織が対象です。Ivanti の勧告では、11.12.0.4 以前、12.3.0.1 以前、12.4.0.1 以前、12.5.0.0 以前のバージョンが影響を受けるとされています。

何をすればいい

Ivanti の勧告では、修正版の 11.12.0.5、12.3.0.2、12.4.0.2、12.5.0.1 のどれかを入れるよう案内しています。使っている系列の修正版以降に更新されているか確認してください。すぐに更新できない場合の対策として、Ivanti は、製品に組み込みの Portal ACL（API Connection の種類）か外部の WAF で API への接続を絞ることを案内しています。侵入されたかどうかの確かな目印はまだないとされているため、心配な場合は Ivanti のサポートに相談し、公式の案内を確認してください。

やることチェックリスト

• EPMM の版を調べ、系列ごとの修正版に更新する
• 12.5 系は 12.5.0.1 以降に更新する
• 更新まで API への接続を Portal ACL か WAF で絞る

用語メモ

API

プログラムどうしが情報をやりとりするための窓口です。外からの命令を受け付ける入り口にもなります。

Hibernate Validator

Java のプログラムで、入力されたデータが正しい形かを確かめるために使われるオープンソースの部品です。

WAF

ウェブのシステムの前に置いて、危険な通信を見分けて止める仕組みです。