CVE詳細 - CVE-2023-46805-

CVE-2023-46805 の詳細

CVEの情報

説明:
An authentication bypass vulnerability in the web component of Ivanti ICS 9.x, 22.x and Ivanti Policy Secure allows a remote attacker to access restricted resources by bypassing control checks.

CVE更新日: 2024-01-12 17:15:09.530000

CVSSバージョン: 3.1

CVSSスコア: 8.2

KEVの情報

KEV更新日: 2024-01-10

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.943670000

EPSS更新日: 2026-06-12 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2023-46805に関する調査結果を以下に解説します。

1. 脆弱性の概要

1.1 影響

Ivanti Connect Secure (ICS)（旧称 Pulse Connect Secure）および Ivanti Policy Secure ゲートウェイのWebコンポーネントにおける認証バイパスの脆弱性です。この脆弱性を悪用することで、リモートの攻撃者が制御チェックを回避し、制限されたリソースにアクセスできます。

この脆弱性単独でも影響がありますが、特にCVE-2024-21887（コマンドインジェクションの脆弱性）と組み合わせて悪用された場合、認証されていない攻撃者がシステム上で任意のコマンドを実行できるようになり、リモートコード実行 (RCE) につながります。これにより、攻撃者は内部ネットワークへの不正アクセス、権限昇格、機密データの漏洩、デバイスの乗っ取り、サービス拒否（DoS）などのさまざまな悪意のある活動を行うことが可能となります。

1.2 深刻度

CVSS v3の基本評価スコアは「8.2 (High)」です。CVSSベクトルはAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:Nです。

この脆弱性は、CISAの既知の悪用されている脆弱性カタログ (Known Exploited Vulnerabilities Catalog) に追加されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性は特定のOSバージョンに起因するものではなく、Ivanti製品のWebコンポーネントに存在します。

2.2 影響を受ける設定

以下のIvanti製品のすべてのサポート対象バージョン（9.xおよび22.x）が影響を受けます。 * Ivanti Connect Secure (ICS) （旧称 Pulse Connect Secure） * Ivanti Policy Secure ゲートウェイ * Ivanti Neurons for ZTA ゲートウェイ（ZTAコントローラーに接続されていない場合に悪用のリスクがあります）

なお、Ivanti Neurons for Secure Access自体は直接脆弱ではありませんが、管理されているゲートウェイは個別に脆弱です。サポートが終了しているバージョンについては、Ivantiは影響の有無を評価しておらず、サポート対象バージョンへの移行を推奨しています。

3. 影響を受けた時の兆候

2024年1月16日以降、広範な悪用試行が観測されており、ペイロードを送り込むためのプローブ活動が確認されています。
攻撃を受けたデバイスでWebシェル（例：GIFTEDVISITORの亜種）が確認されることがあります。
システムファイルが改ざんされている可能性があります。
Ivantiが提供する整合性チェックツール（Integrity Checker Tool, ICT）で不整合が報告される場合があります。
攻撃者によって製品上のログが削除されているケースが確認されています。
設定情報や資格情報が窃取され、不正なログイン試行が行われる可能性があります。

4. 推奨対策

4.1 本対策

Ivantiが提供する公式の修正パッチを速やかに適用してください。2024年2月16日現在、サポートされているすべてのバージョン向けに修正パッチが提供されています。

4.2 暫定回避策（緩和策）

IvantiはXMLファイルをインポートする形式の緩和策を提供しています。修正パッチをすぐに適用できない場合は、この緩和策を適用することを検討してください。ただし、この緩和策は将来の悪用を防ぐものであり、既に侵害されたデバイスを修復するものではありません。
侵害が疑われる場合は、既存の構成をバックアップし、出荷時設定にリセットした後、最新のイメージから完全に再構築し、その後パッチを適用することが推奨されます。
Ivantiが提供する整合性チェックツール（内部チェックツールおよび外部チェックツール）を実行し、侵害の有無を確認してください。拡張版の外部チェックツールは、デバイスの復号化されたスナップショットを取得できます。
製品上のログが削除されている可能性があるため、周辺機器のログも調査し、侵害の痕跡を確認することが推奨されます。
資格情報が窃取された可能性がある場合は、関連する資格情報を変更し、不正なログインがないかを監視してください。
ゼロトラストアプローチの採用も長期的なセキュリティ強化に有効です。

他に解説すべき観点

複合的な悪用: 本脆弱性（CVE-2023-46805）は、コマンドインジェクションの脆弱性であるCVE-2024-21887と組み合わせて悪用されることが非常に多いです。
ゼロデイ攻撃: 2023年12月にはすでに活発な悪用が観測されていました。
PoCの公開と攻撃の拡大: 2024年1月16日には概念実証（PoC）コードが公開され、その後、悪用が世界的に急増しました。
攻撃者の特徴: 一部の攻撃活動は、中国を拠点とするAPTグループの戦術、技術、手順と一致していると指摘されています。
ランサムウェアキャンペーン: 本脆弱性がランサムウェアキャンペーンの一部として利用された事例も報告されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る