Ivanti Endpoint Managerのバージョンにおける重大な脆弱性

ITソフトウェアベンダーのIvantiは、Avalanche、Application Control Engine、Endpoint Manager (EPM)製品の複数の脆弱性に対処するためのセキュリティアップデートを最近リリースしました。これにはEPMにおける4つの重大な脆弱性が含まれています。

これらの重大な脆弱性は、CVSSスケールでそれぞれ9.8のスコアを持つEPMのパス・トラバーサルの問題であり、リモートの未認証の攻撃者が機密情報にアクセスできる可能性があります。

影響を受ける脆弱性は以下の通りです：

• CVE-2024-10811

• CVE-2024-13159

• CVE-2024-13160

• CVE-2024-13161

2024年11月のセキュリティアップデートまたは2022年SU6の11月のセキュリティアップデート以前のEPMバージョンに影響を与えた脆弱性は、2025年1月のアップデートで対処されました。

Horizon3.aiのセキュリティ研究者であるZach Hanleyが、これらの問題を特定し報告したことが評価されています。

さらに、IvantiはAvalanche（バージョン6.4.7以前）およびApplication Control Engine（バージョン10.14.4.0以前）のいくつかの高リスクの問題を修正しました。

これらの脆弱性により、攻撃者は認証メカニズムを回避し、機密データにアクセスしたり、アプリケーションのブロックを無効にしたりすることが可能になります。

Ivantiは、これらの脆弱性が実際に悪用された証拠は見つかっていないものの、潜在的なリスクをより効率的に特定し対処するために、スキャンやテストなどの内部プロセスを強化しています。

別途、SAPはNetWeaver ABAP ServerおよびABAP Platformのために、CVE-2025-0070およびCVE-2025-0066の脆弱性を修正するための重大なパッチをリリースしました。これらはどちらもCVSSスケールで9.9のスコアを持っています。

これらの脆弱性により、認証された攻撃者が認証チェックを回避し、特権を昇格させ、制限された情報にアクセスすることが可能になります。

「SAPは、顧客がサポートポータルを訪れ、SAP環境を保護するために優先的にパッチを適用することを強く推奨します」と、同社は2025年1月の公報で述べています。