Trusted Design

解説:

CVE-2024-8963 は、Ivanti Cloud Services Appliance (CSA) に影響を与える、活発に悪用されている脆弱性です。

1. 脆弱性の概要

1.1 影響

リモートの認証されていない攻撃者が制限された機能にアクセスできる可能性があります。 この脆弱性がCVE-2024-8190と組み合わせて悪用された場合、管理者の認証を回避し、アプライアンス上で任意のコマンドを実行することが可能になります。 また、CVE-2024-9380やCVE-2024-9379といった他の脆弱性と連鎖的に悪用されることで、初期アクセスの取得、リモートコード実行 (RCE)、認証情報の窃取、Webシェル植え付けなどにつながる可能性も報告されています。

1.2 深刻度

CVSSv3スコア9.4（または9.1）のクリティカルな脆弱性です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Ivanti Cloud Services Appliance (CSA) のバージョン4.6（Patch 519以前のすべてのバージョン）が影響を受けます。 Ivanti CSA 4.6はすでにサポート終了 (End-of-Life, EOL) しており、OSやサードパーティライブラリのアップデートは提供されません。 CSAバージョン5.0はこの脆弱性の影響を受けません。

2.2 影響を受ける設定

特定の詳細な設定については言及されていませんが、管理ポータルをインターネットに公開している場合、悪用のリスクが高まります。 eth0を内部ネットワークとして使用するデュアルホームCSA構成は、悪用リスクを大幅に低減できます。

3. 影響を受けた時の兆候

• CSA上で新規に追加または変更された管理ユーザーを確認する。
• 一部の攻撃試行は、ローカルのブローカーログに表示される可能性がある（ただし、一貫性がない場合がある）。
• エンドポイント検出・対応 (EDR) またはその他のセキュリティソフトウェアからのアラートを確認する。
• CISAとFBIは、この脆弱性や連鎖する他の脆弱性の悪用に関連する詳細な侵害の痕跡 (IoC) を公開しています。
• 影響を受けたIvantiアプライアンスに保存されている資格情報や機密データは、侵害されたと見なすべきです。

4. 推奨対策

4.1 本対策

• Ivanti CSAバージョン5.0へのアップグレードを推奨します（CSA 4.6はEOLのため）。
• すぐにバージョン5.0にアップグレードできない場合は、Ivanti CSA 4.6のPatch 519を適用してください。このパッチは、意図せずCVE-2024-8963にも対応しています。 ただし、Patch 519がバージョン4.6向けの最後の修正となることに注意してください。

4.2 暫定回避策（緩和策）

• 侵害が疑われる場合は、Patch 519を適用してCSAを再構築する。
• eth0を内部ネットワークとして使用するデュアルホームCSA構成を確保する。
• 管理ポータルをインターネットに公開しない。
• CISA/FBIのアドバイザリで提供されている検出方法とIoCを使用して、ネットワーク上の悪意ある活動を探索する。
• 悪意ある活動のログとアーティファクトを収集・分析する。
• CISA/FBIアドバイザリに記載されているMITRE ATT&CKテクニックに対して、組織のセキュリティプログラムをテストおよび検証する。

他に解説すべき観点

• 活発な悪用: CVE-2024-8963は、CVE-2024-8190、CVE-2024-9380、CVE-2024-9379といった他のIvanti CSA脆弱性と連鎖的に、野外で活発に悪用されています。
• CISA KEVカタログへの追加: 米国サイバーセキュリティ・インフラセキュリティ庁 (CISA) は、CVE-2024-8963を「既知の悪用されている脆弱性 (KEV) カタログ」に追加しており、連邦政府機関には2024年10月10日までにこの脆弱性に対処するよう義務付けています。
• 根本原因分析: この脆弱性は、当初考えられていたPHPスクリプトだけではなく、Ivanti独自のWebサーバー (ブローカー) におけるURL解析の問題と、PHP CGI構成の混乱した動作の組み合わせに起因するとされています。

参照したサイト

• Exploited Vulnerabilities in Ivanti Cloud Services Appliance (CSA) - NHS England Digital
• Ivanti warns of a new actively exploited Cloud Services Appliance (CSA) flaw
• Ivanti warns of another critical CSA flaw exploited in attacks - Bleeping Computer
• Ivanti Releases Admin Bypass Security Update for Cloud Services Appliance | CISA
• CVE-2024-8963 | Tenable®
• CVE-2024-8963 – Ivanti Cloud Services Appliance (CSA) Path Traversal…
• Ivanti Product Security Update Advisory (CVE-2024-8963) - ASEC
• Further insights into Ivanti CSA 4.6 vulnerabilities exploitation - HarfangLab
• Another critical vulnerability in Ivanti CSA exploited - Field Effect
• Attackers exploit second Ivanti Cloud Service Appliance flaw for more access
• Threat Actors Chained Vulnerabilities in Ivanti Cloud Service Applications - CISA
• CVE-2024-8963: Ivanti CSA - Path Traversal - Live Exploit Tracker - CrowdSec
• Another Ivanti CSA vulnerability leveraged in ongoing attacks | brief - SC Media
• Ivanti zero-days chained together in at least 3 attacks, authorities warn | Cybersecurity Dive
• Ivanti patches admin bypass for Cloud Services Appliance - ThreatDown
• Threat Actors Chained Vulnerabilities in Ivanti Cloud Service Applications | Security Center | SBR Banks2
• CVE-2024-8963.yaml - nuclei-templates - GitHub