Trusted Design

CVE-2024-21893 の詳細

CVEの情報

説明:
A server-side request forgery vulnerability in the SAML component of Ivanti Connect Secure (9.x, 22.x) and Ivanti Policy Secure (9.x, 22.x) and Ivanti Neurons for ZTA allows an attacker to access certain restricted resources without authentication.

CVE更新日: 2024-01-31 18:15:47.437000

CVSSバージョン: 3.1

CVSSスコア: 8.2

KEVの情報

KEV更新日: 2024-01-31

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999990000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2024-21893について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2024-21893は、Ivanti Connect Secure (ICS)、Ivanti Policy Secure (IPS)、およびIvanti Neurons for ZTAのSAMLコンポーネントにおけるサーバーサイドリクエストフォージェリ (SSRF) の脆弱性です。この脆弱性を悪用することで、認証されていない攻撃者が制限されたリソースにアクセスできる可能性があります。

この脆弱性は、特にCVE-2023-46805（認証バイパス）およびCVE-2024-21887（コマンドインジェクション）と組み合わせて悪用されることが多く、認証なしのリモートコード実行（RCE）を可能にするエクスプロイトチェーンの一部として利用されていました。また、Ivantiが当初公開した他の脆弱性に対する緩和策を回避する新しい技術としても悪用されました。

1.1 影響

  • 認証されていない攻撃者による制限されたリソースへのアクセスを許してしまう。
  • 他の脆弱性（CVE-2023-46805、CVE-2024-21887）と組み合わせることで、認証なしで管理者権限でのリモートコード実行を可能にする。
  • 多要素認証の回避、機密情報の窃取、コマンド＆コントロールチャネルの確立、企業や組織の重要な業務の中断につながる可能性がある。
  • 攻撃者がネットワーク内で永続的なアクセスを維持し、ラテラルムーブメントを実行する可能性がある。
  • 設定ファイルが侵害される可能性もある。

1.2 深刻度

  • CVSS v3.x ベーススコア: 8.2 (High)
  • CISA（米サイバーセキュリティ・インフラセキュリティ庁）は、このCVEを「悪用が確認された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）」に追加しており、実際に活発な悪用が確認されていることを示しています。
  • Tenable社は危険度を「High」と評価し、エクスプロイトが利用可能であると指摘しています。

2. 対象となる環境

2.1 影響を受ける製品およびバージョン

以下のIvanti製品のすべてのサポート対象バージョン（9.xおよび22.x）が影響を受けます。

  • Ivanti Connect Secure (旧称 Pulse Connect Secure)
  • Ivanti Policy Secure
  • Ivanti Neurons for ZTA

具体的に影響が言及されているバージョンには、Connect Secure 9.1R14.4, 9.1R17.2, 9.1R18.3, 22.3R1, 22.4R2.2, 22.5R1.1, 22.5R2.2、Policy Secure 22.5R1.1、ZTA 22.6R1.3などがあります。

2.2 影響を受ける設定

  • SAML (Security Assertion Markup Language) コンポーネントに脆弱性が存在します。SAMLはシングルサインオン (SSO) プロバイダがユーザー認証に使用する標準です。
  • 認証を必要とせずに、特別に細工されたリクエストを送信することで、制限されたリソースにアクセスされる可能性があります。

3. 影響を受けた時の兆候

  • CISAの内部および外部の整合性チェッカーツール（ICT）が侵害を検知できなかった事例が報告されています。攻撃者はIvantiのICTを欺くことができたとされています。
  • Mandiantは、ファクトリーリセットやシステムアップグレード後も持続性を維持するための新しいマルウェア（例: LITTLELAMB）や、Living-off-the-land (LotL) 技術が使用されていることを確認しています。
  • Perlで書かれ、querymanifest.cgiに埋め込まれた「BUSHWALK」という新しいウェブシェルが観測されています。
  • エクスプロイト後に、オープンソースツールやカスタムマルウェアファミリーの展開、ラテラルムーブメントなどの活動が確認されています。
  • 初期の緩和策が適用されたにもかかわらず、攻撃者が以前の脆弱性の悪用を継続し、結果として設定ファイルが侵害されたケースがあります。
  • ShadowServerの報告によると、2024年2月5日時点で、約22,500台のインターネットに接続されたデバイスがCVE-2024-21893を悪用する試みの標的となっていました。

4. 推奨対策

4.1 本対策

  • Ivantiがリリースした公式パッチを適用してください。これらのパッチは、CVE-2024-21893だけでなく、関連するCVE-2023-46805、CVE-2024-21887、CVE-2024-21888を含む既知のすべての脆弱性に対処します。
  • パッチは2024年1月31日から順次リリースされています。
  • 影響を受ける製品を最新バージョンにアップグレードすることを推奨します。

4.2 暫定回避策（緩和策）

  • Ivantiは、エクスプロイトチェーン（CVE-2024-21893を使用したバイパス技術を含む）を防ぐための追加の緩和策をリリースしています。パッチ適用待ちのシステム向けに緩和ファイルが提供されています。
  • パッチを適用済みの顧客は、緩和策を適用する必要はありません。
  • CISAは、米連邦政府機関に対し、影響を受ける製品に対して特定の緊急措置を義務付ける緊急指令（ED 24-01）を発令しました。
  • 工場出荷時リセットやシステムアップグレード後のマルウェア永続化の試行、および実際に観測されているその他の攻撃手法（TTP）を検出するために強化された、最新版の外部整合性チェッカーツール（ICT）を実行してください。内部ICTと外部ICTの両方を実行することが推奨されます。
  • Mandiantも修復およびセキュリティ強化ガイドをリリースしています。
  • 直ちにパッチを適用できない場合、製品をネットワークから切り離すことも対策の一つですが、これは利用者や業務に大きな影響を与える可能性があります。

5. 他に解説すべき観点

  • 関連する脆弱性: CVE-2024-21893は、Ivanti製品に影響を与える一連の脆弱性（CVE-2023-46805、CVE-2024-21887、CVE-2024-21888、CVE-2024-21893、CVE-2024-22024）の一部です。
  • 積極的な悪用: Ivantiは2024年1月31日にCVE-2024-21893の限定的な悪用を確認したと報告しています。
  • 国内への影響: JPCERT/CCは、本脆弱性を悪用したとみられる攻撃が国内組織に対しても行われた可能性があることを確認しています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る