Trusted DesignCVE-2025-4428 の詳細
CVEの情報
説明:
Remote Code Execution in API component in Ivanti Endpoint Manager Mobile 12.5.0.0 and prior on unspecified platforms allows authenticated attackers to execute arbitrary code via crafted API requests.
CVE更新日: 2025-05-13 16:15:32.463000
CVSSバージョン: 3.1
CVSSスコア: 7.2
KEVの情報
KEV更新日: 2025-05-19
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.869840000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: False
CVE-2025-4428について、以下の観点で解説します。
1. 脆弱性の概要
CVE-2025-4428は、Ivanti Endpoint Manager Mobile (EPMM) のAPIコンポーネントにおけるコードインジェクションの脆弱性です。この脆弱性は、信頼されていない入力を実行コンテキストに直接渡すことを可能にし、攻撃者が悪意のあるJava Expression Language (EL) コードを
/mifs/rs/api/v2/や/api/v2/featureusageエンドポイントへのリクエストに挿入することを許します。 この脆弱性は、多くの場合、認証バイパスの脆弱性であるCVE-2025-4427と組み合わせて悪用され、認証なしでのリモートコード実行 (RCE) を可能にします。1.1 影響
CVE-2025-4428がCVE-2025-4427と連鎖して悪用された場合、認証されていないリモートコード実行に繋がり、攻撃者は脆弱なシステム上で任意のコードを実行できます。これにより、攻撃者は以下の活動を行う可能性があります。
EPMMはデバイス管理の中心に位置し、広範な権限を持つため、攻撃者にとって非常に価値のある標的です。侵害は単一のサーバーに留まらず、ネットワーク全体に影響を及ぼし、機密情報の漏洩やシステムの不正操作につながる可能性があります。さらに、EPMMがこれらの攻撃に対するアラートを発しない場合や、ログイン失敗の試行すら記録されない場合があり、侵害が長期間にわたって発見されないリスクがあります。
1.2 深刻度
CVE-2025-4428のCVSS v3.1ベーススコアは、一部の情報源では7.2（高）と報告されていますが、別の情報源では8.8（高）とされています。認証バイパスと組み合わされた際のリモートコード実行の可能性を考慮すると、これは高い深刻度の脆弱性として認識されています。また、このCVEはCISAの既知の悪用されている脆弱性カタログ（Known Exploited Vulnerabilities Catalog）に掲載されています。
2. 対象となる環境
2.1 影響を受けるOSバージョン
この脆弱性は特定のOSバージョンではなく、Ivanti Endpoint Manager Mobile (EPMM) 製品に影響を与えます。
2.2 影響を受ける設定
以下のIvanti Endpoint Manager Mobile (EPMM) のバージョンが影響を受けます。
この問題は、オンプレミス版のEPMMインスタンスにのみ影響し、Ivanti Neurons for MDM、Ivanti Sentry、またはその他の製品には影響しません。
3. 影響を受けた時の兆候
観測された攻撃では、HTTPリクエストを傍受し、ペイロードをデコード・復号化して、攻撃者が制御するコードを実行する悪意のあるリスナー（ローダー、
ReflectUtil.class、SecurityHandlerWanListener.class、WebAndroidAppInstaller.classなどのJavaクラス）が展開されます。これにより、隠れたバックドアが作成されます。攻撃者はシステム情報の収集、悪意のあるファイルのダウンロード、ルートディレクトリの内容一覧表示、ネットワークスキャンとマッピング、ヒープダンプの生成、LDAP認証情報のダンプなども実行しています。EPMMがこれらの攻撃に対するアラートを生成しない場合や、ログイン失敗の試行が記録されない場合があるため、侵害が長期にわたって検出されないリスクがあります。4. 推奨対策
4.1 本対策
4.2 暫定回避策（緩和策）
参照サイト