（ CVE-2024-9379 or CVE-2024-9380 or CVE-2024-9381 ） + CVE-2024-8963=?

Ivanti Cloud Service Applicationという製品があります。
これは略してCSAと呼ばれたりしますが、インターネット上での安全な通信と機能を提供するためのインターネットアプライアンスです。
ファイアウォール使用時やプロキシ経由でインターネットにアクセスしているような場合であっても、インターネット接続を使ってコンソールと管理デバイスが接続する経由点として機能して安全を提供します。
このCSAをはじめとするいくつかの製品に脆弱性が案内されています。

• CVE-2024-9379
  バージョン5.0.2より前のIvanti CSAの管理WebコンソールでのSQLインジェクションにより、管理者権限を持つリモート認証された攻撃者が任意のSQLステートメントを実行できるようになります。
  CVSS Baseスコアは6.5です。
• CVE-2024-9380
  バージョン5.0.2より前のIvanti CSAの管理Webコンソールに存在するOSコマンドインジェクションの脆弱性により、管理者権限を持つリモート認証された攻撃者がリモートコードを実行できる可能性があります。
  CVSS Baseスコアは7.2です。
• CVE-2024-9381
  バージョン5.0.2より前のIvanti CSAのパストラバーサル脆弱性により、管理者権限を持つリモート認証された攻撃者が制限を回避できるようになります。
  CVSS Baseスコアは7.2です。
• CVE-2024-8963
  4.6パッチ519より前のIvanti CSAのパストラバーサル脆弱性により、認証されていないリモートの攻撃者が制限された機能にアクセスできるようになります。
  CVSS Baseスコアは9.4です。

これらの脆弱性は、合わせて一本、となってしまいます。
CVE-2024-9379 か CVE-2024-9380 か CVE-2024-9381 に加えて CVE-2024-8963 の悪用が検出された状態の場合、脆弱性の特性から、その環境はすでに侵害が成り立っていると考えられます。
脆弱性によっては、重大度が大きい場合でも、単独では攻撃行為全体としては成り立つに至らないというものもあるのですが、これらについては組み合わせることで脅威となりえます。
特に今回の組み合わせの場合は、すでにサポートの切れた4.6系の製品を、4.6系の最新にすら更新することなく使い続けている環境が対象となります。

どの脆弱性もすでに対応したものがリリースされています。
タイムリーにパッチを適用する運用を維持できている場合は心配するに及びません。
その良い運用を継続していきましょう。

October Security Update – ivanti

https://www.ivanti.com/blog/october-2024-security-update