Trusted Design

解説:

1. 脆弱性の概要

CVE‑2026‑10520 は Ivanti Sentry（旧 MobileIron Sentry） に存在するOS コマンドインジェクション（CWE‑78） による 認証不要のリモートコード実行（RCE） 脆弱性。
攻撃者は 未認証のまま細工したリクエストを送信するだけで root 権限で任意コマンドを実行可能。Ivanti Sentry のコアコンポーネントが 外部入力を OS コマンドとして無検証で処理する ことが原因。
この脆弱性は CISA KEV に登録され、実際に悪用が確認されている。

1.1 影響

• root 権限での任意コード実行（RCE）
• 完全な機密性・完全性・可用性の喪失（C:H / I:H / A:H）
• インターネットに公開された Sentry が攻撃対象となり得る
• パッチ公開翌日に 大規模な実攻撃が確認

1.2 深刻度

• CVSS v3.1：10.0（Critical）
  Vector：AV:N / AC:L / PR:N / UI:N / S:C / C:H / I:H / A:H

• CISA Known Exploited Vulnerabilities（KEV）登録済み

2. 対象となる環境

2.1 影響を受ける製品・バージョン

Ivanti Sentry の以下のバージョン より前 が影響：

• R10.5.2 未満
• R10.6.2 未満
• R10.7.1 未満

2.2 影響を受ける設定

• Sentry がインターネットに公開されている構成
• 脆弱な管理インターフェースが外部から到達可能

（※脆弱性は設定依存ではなく、該当バージョンであれば影響）

3. 影響を受けた時の兆候（IoC）

公式に明確な IoC は公開されていないが、事実として以下が報告：

• Shadowserver により 実際の攻撃とバックドア設置が確認
• 脆弱な Sentry インスタンスの多数がスキャン・侵害されている

起こり得る事象：

• 不審な root 権限プロセスの生成
• システムファイルの改ざん
• 不審な外部接続ログ

4. 推奨対策

4.1 本対策（恒久対策）

Ivanti および OpenCVE による公式対策：

• Sentry を以下の修正版へアップデート

  • R10.5.2
  • R10.6.2
  • R10.7.1

• CISA は 即時パッチ適用を必須 としており、未適用は「侵害済みとみなすべき」と警告

4.2 暫定回避策（緩和策）

OpenCVE 推奨：

• Sentry 管理インターフェースを信頼できる IP のみに制限
• インターネット公開を停止
• OS コマンドに渡る入力の厳格な検証
• 詳細ログを有効化し、不審なコマンド実行を監視

5. その他補足すべき観点

5.1 悪用状況

• パッチ公開翌日に 大規模な攻撃が観測
• 複数インスタンスで バックドア設置が確認
• CISA KEV に登録 → 確実に悪用されている脆弱性

5.2 脆弱性の根本原因

外部入力を OS コマンドとして無検証で処理（CWE‑78）