Ivantiの脆弱性修正

日々、いろいろな製品でバグ修正や脆弱性修正の更新が提供されてきています。
Ivantiの製品に対しても修正が提供されています。

• CVE-2024-21894
  この脆弱性は、Heap Overflowです。
  この脆弱性は重大度が8.2とされているもので、リモートでコードを実行し、ユーザーの操作を必要としない複雑さの低い攻撃で、パッチが適用されていないアプライアンス上でサービス拒否状態を引き起こす可能性があります。
  脆弱性のあることが分かったコンポーネントは、IPSecコンポーネントでした。
  この脆弱性はリモートコード実行に至る可能性やDoSが成り立ってしまう可能性がある問題です。
  なんらかの特定の条件が満たされたときにのみ、脆弱な状態となるということが公開されていますが、その詳細は明らかにされていません。
• CVE-2024-22052
  この脆弱性は、Null Pointer Dereferenceです。
  この脆弱性は重大度が7.5とされているもので、脆弱性のあることが分かったコンポーネントは、IPSecコンポーネントでした。
  この脆弱性はDoSが成り立ってしまう可能性がある問題です。
• CVE-2024-22053
  この脆弱性は、Heap Overflowです。
  この脆弱性は重大度が8.2とされているもので、脆弱性のあることが分かったコンポーネントは、IPSecコンポーネントでした。
  この脆弱性はメモリ内容を読み取られてしまう可能性やDoSが成り立ってしまう可能性がある問題です。
• CVE-2024-22023
  この脆弱性はXML entity expansion or XXEです。
  この脆弱性は重大度が5.3とされているもので、脆弱性のあることが分かったコンポーネントは、SAMLコンポーネントでした。
  この脆弱性はDoSが成り立ってしまう可能性がある問題です。

対象の製品は、Ivanti Connect Secure と Ivanti Policy Secure Gatewaysです。
IPSecコンポーネントはVPNを構成する各種コンポーネントのうちの認証や暗号化を処理する部分です。
SAMLはSecurity Assertion Markup Languageで、シングルサインオン機構や他システムとのID連携で活用される仕組みです。
いずれもVPNを構成する中心的な要素といえます。

これら4つの脆弱性だけでなく、ここのところ、他にもいくつもの脆弱性の修正が提供されています。
脆弱性を悪用されて侵害された後、その侵害されたシステムを攻撃拠点に利用されてしまっていたという例も多く確認されています。
VPNなどのセキュリティ機構を利用して安全を手に入れているつもりでいたら、実はその仕組みの脆弱性が悪用されて加害者になってしまっていた、なんていうことになっています。
被害者になって大変な目に合うことも怖いですが、加害者になってしまって被害者に対する責任が発生してしまうことも恐怖です。

タイムリーなパッチ適用の重要さを再認識しました。

参考記事（外部リンク）：SA:CVE-2024-21894 (Heap Overflow), CVE-2024-22052 (Null Pointer Dereference), CVE-2024-22053 (Heap Overflow) and CVE-2024-22023 (XML entity expansion or XXE) for Ivanti Connect Secure and Ivanti Policy Secure Gateways
forums.ivanti.com/s/article/SA-CVE-2024-21894-Heap-Overflow-CVE-2024-22052-Null-Pointer-Dereference-CVE-2024-22053-Heap-Overflow-and-CVE-2024-22023-XML-entity-expansion-or-XXE-for-Ivanti-Connect-Se…