Trusted Design

解説:

CVE-2024-8190は、Ivanti Cloud Services Appliance (CSA) に存在するOSコマンドインジェクションの脆弱性です。以下に詳細を解説します。

1. 脆弱性の概要

CVE-2024-8190は、Ivanti Cloud Services Appliance (CSA) のPHPウェブフロントエンドにおけるOSコマンドインジェクションの脆弱性です。この脆弱性は、認証された管理者権限を持つ攻撃者が、不適切にサニタイズされたユーザー入力（具体的にはDateTimeTab.phpファイルのTIMEZONEパラメータ）を通じて、任意のオペレーティングシステムコマンドを挿入できるというものです。

この脆弱性は、公表後すぐに実環境での悪用が確認され（ゼロデイ攻撃）、CISAの既知の悪用されている脆弱性（KEV）カタログに追加されています。

1.1 影響

本脆弱性が悪用されると、攻撃者は脆弱なシステム上でリモートコード実行（RCE）が可能となり、システムの制御を奪うことができます。本来は管理者権限での認証が必要ですが、CVE-2024-8963のような他の脆弱性と組み合わせて認証なしで悪用される事例も報告されています。

1.2 深刻度

この脆弱性の深刻度は「高（High）」または「クリティカル（Critical）」と評価されており、CVSS 3.1スコアは7.2（高危）です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

• Ivanti Cloud Services Appliance (CSA) バージョン4.6、および4.6 Patch 518以前のバージョンが影響を受けます。

2.2 影響を受ける設定

• この脆弱性は、CSAの管理コンソールとして機能するPHP WebフロントエンドのDateTimeTab.phpリソースに存在します。
• 脆弱な機能は/datetime.phpエンドポイントからアクセス可能であり、これは本来内部インターフェースからのみアクセス可能であるべきです。
• ネットワーク構成の誤りにより、この内部インターフェースが外部に公開されているシステムは、悪用の重大なリスクに晒されます。
• Ivantiが推奨する、ETH-0を内部ネットワークとするデュアルホームCSA構成では、悪用のリスクが大幅に低減されます。

3. 影響を受けた時の兆候

システムが侵害された場合の兆候としては、以下が挙げられます。

• ログ分析: /var/log/messagesファイルにおける「ユーザー管理者未認証」のような失敗したログイン試行メッセージは、悪用が試みられた可能性を示唆します。成功した侵害の場合、攻撃者が認証を回避したことを示す200応答のログが生成されることがあります。
• ネットワーク活動: ネットワークから発信される不正な通信が確認されることがあります。
• システム変更: 攻撃者によってマルウェアが展開されたり、認証情報が窃取されたりする可能性があります。

4. 推奨対策

4.1 本対策

• Ivantiが提供するセキュリティアップデートまたはパッチを直ちに適用してください。
• Ivanti Cloud Services Applianceをバージョン4.6 Patch 519以降にアップグレードしてください。
• この脆弱性の影響を受けないIvanti Cloud Services Appliance 5.0以降のバージョンへのアップグレードが推奨されます。Ivanti CSA 4.6.xバージョンは、将来の脆弱性に対するセキュリティアップデートが提供されない可能性があります。

4.2 暫定回避策（緩和策）

• ネットワーク構成を確認し、内部インターフェースが適切に設定されており、外部に公開されていないことを確認してください。
• Ivanti CSAコンソール（http://xxx.xxx.xx/gsb）がインターネットに公開されていないことを確認してください。誤った設定は、コンソールのアカウントパスワードに対するブルートフォース攻撃につながる可能性があります。
• 強力なパスワードポリシーとアカウント衛生を維持してください。
• ログイン試行に対するレート制限を実装してください。
• Ivantiが推奨する、ETH-0を内部ネットワークとするデュアルホームCSA構成を使用してください。

参照したサイト

• CVE-2024-8190: Ivanti Cloud Services Appliance RCE Flaw - SentinelOne
• 危険なゼロデイ脆弱性：国家的関与が疑われる攻撃者がIvanti CSAを標的に | FortiGuard Labs
• NVD-CVE-2024-8190 - National Vulnerability Database
• CVE-2024-8190 – OS Command Injection in Ivanti CSA - Indusface
• CVE-2024-8190: Investigating CISA KEV Ivanti Cloud Service Appliance Command Injection Vulnerability - Horizon3.ai
• Ivanti CSAゼロデイ悪用、首謀者として最も疑わしきは中国アクター（CVE-2024-8190）
• CVE-2024-8190: Ivanti Cloud Service Appliance Authenticated Command Injection - GitHub
• 「Ivanti CSA」脆弱性の悪用が判明 - 侵害状況の確認を - Security NEXT
• Ivanti Cloud Service Appliance命令注入漏洞(CVE-2024-8190) 在野利用风险通告 - 安全内参
• CVE-2024-8963 + CVE-2024-8190 ｜ブログ(ほぼこもセキュリティニュース) - Constella Security Japan
• Ivanti、3製品に関するセキュリティアドバイザリを公開 - Security NEXT
• およびCVE-2024-9380の検出：CISAとFBIがIvanti CSAの重大な脆弱性を利用した2つのエクスプロイトチェーンについて防御者に警告 | SOC Prime
• 【漏洞通告】Ivanti Cloud Service Appliance 命令注入漏洞 - 微步在线- ThreatBook
• Ivanti 云服务设备中被利用漏洞CVE-2024-8190 的PoC 漏洞利用版本 - 安全客
• CVE-2024-8190: Ivanti Cloud Services Appliance OS Command Injection Vulnerability
• CISA KEV - IoT OT Security News