【CVE-2024-11007】IvantiのConnect SecureとPolicy Secureに重大な脆弱性、管理者権限での遠隔コード実行が可能に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

Ivanti製品に管理者権限での遠隔コード実行の脆弱性
Connect Secure version 22.7R2.1未満が対象
Policy Secure version 22.7R1.1未満が対象

Ivantiの製品におけるコマンドインジェクションの脆弱性

Ivantiは2024年11月12日にConnect SecureとPolicy Secureにおける重大な脆弱性【CVE-2024-11007】を公開した。Connect Secureのversion 22.7R2.1未満とPolicy Secureのversion 22.7R1.1未満において、管理者権限を持つ遠隔の攻撃者がリモートコード実行を可能にする脆弱性が発見されている。^[1]

この脆弱性はCVSS v3.1で9.1のクリティカルスコアを記録しており、攻撃元区分はネットワークで攻撃条件の複雑さは低いとされている。管理者権限が必要な一方でユーザーインタラクションは不要であり、機密性・完全性・可用性のすべてに高い影響を及ぼす可能性が指摘されているのだ。

脆弱性の種類はCWE-78に分類されており、OSコマンドインジェクションの問題として特定されている。影響を受ける可能性のある製品のバージョンが明確に示されており、管理者は早急なアップデートによって対策を講じる必要がある。

CVE-2024-11007の影響を受ける製品まとめ

項目	詳細
影響を受ける製品名	Ivanti Connect Secure、Ivanti Policy Secure
影響を受けるバージョン	Connect Secure version 22.7R2.1未満、Policy Secure version 22.7R1.1未満
CVSSスコア	9.1（Critical）
脆弱性の種類	OSコマンドインジェクション（CWE-78）
必要な権限	管理者権限

セキュリティアドバイザリの詳細はこちら

コマンドインジェクションについて

コマンドインジェクションとは、攻撃者が悪意のあるコマンドを実行するために、アプリケーションの入力値を操作する攻撃手法のことを指す。主な特徴として、以下のような点が挙げられる。

システムコマンドの実行権限を不正に取得
機密データの漏洩やシステムの破壊が可能
入力値の適切なサニタイズで防御可能

今回のIvanti製品における脆弱性は、管理者権限を持つ攻撃者がリモートからコマンドインジェクション攻撃を実行できる深刻な問題として報告されている。Connect SecureとPolicy Secureの両製品において、特定のバージョンではコマンドインジェクションに対する適切な防御機能が実装されておらず、システムの完全性が脅かされる可能性が指摘されているのだ。

Ivantiの脆弱性対応に関する考察

今回のセキュリティアップデートは、管理者権限を持つ攻撃者からのリモートコード実行を防ぐという点で重要な意味を持っている。Connect SecureとPolicy Secureは企業の重要なセキュリティインフラストラクチャとして利用されているため、この脆弱性の影響は極めて深刻であり、早急な対応が求められているのだ。

今後の課題として、管理者権限を持つユーザーによる不正アクセスの検知・防御機能の強化が挙げられる。特権アカウントの監視システムの導入やアクセスログの詳細な分析機能の実装により、不正な操作を早期に発見できる仕組みの構築が望まれるだろう。

将来的には、ゼロトラストセキュリティの考え方に基づいた、より強固な認証・認可の仕組みの導入も検討する必要がある。コマンドインジェクション対策を含めた包括的なセキュリティ機能の実装により、製品のセキュリティレベルが向上することが期待される。