CVE詳細 - CVE-2026-1340-

CVE-2026-1340 の詳細

CVEの情報

説明:
A code injection in Ivanti Endpoint Manager Mobile allowing attackers to achieve unauthenticated remote code execution.

CVE更新日: 2026-01-29 22:15:53.313000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2026-04-08

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.986390000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2026-1340について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2026-1340は、Ivanti Endpoint Manager Mobile (EPMM) におけるコードインジェクションの脆弱性です。これにより、認証されていないリモートの攻撃者が任意のコードを実行できる可能性があります。この脆弱性は、Ivanti EPMMアプリケーション内の不適切な入力検証とサニタイズに起因し、ユーザーが提供する入力中のコード要素が適切に無効化されずに実行可能なコード構造に組み込まれることで発生します。これはCWE-94（コード生成の不適切な制御、別名コードインジェクション）に分類されます。

1.1 影響

本脆弱性の悪用に成功すると、認証されていない攻撃者が脆弱なIvanti EPMMインスタンス上で任意のコードをリモートで実行できるようになります。これは、システムの完全な侵害、データ窃盗、企業ネットワーク内での横移動につながる可能性があります。 EPMMはモバイルデバイス管理（MDM）プラットフォームであるため、侵害されたサーバーが悪用され、組織内のすべての登録済みモバイルデバイスに悪意のある構成をプッシュする可能性があり、被害範囲が大幅に拡大します。攻撃者は、永続的なアクセスを維持するために、休眠状態のウェブシェル（例: 403.jsp）やNezhaマルウェアなどを展開していることが確認されています。 EPMMサーバーの侵害は、モバイルデバイスユーザーの個人識別情報（PII）、電話番号、GPS情報などの機密データへのアクセスを可能にするほか、デバイス自体に対する特権的な立場を確立し、侵害されたネットワーク内での横移動を可能にします。

1.2 深刻度

CVE-2026-1340は「Critical（緊急）」と評価されており、CVSS v3.1基本スコアは9.8です。 CVSSv2基本スコアは10.0です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Ivanti Endpoint Manager Mobile (EPMM) のバージョン12.7.0.0およびそれ以前のバージョンが影響を受けます。これは、サポートされているすべての主要バージョンラインの12.7.xまでのオンプレミス版に影響を及ぼします。

2.2 影響を受ける設定

この脆弱性は、Ivanti Endpoint Manager Mobile (EPMM) のオンプレミスインストールに影響します。特に、Apache HTTP ServerのRewriteMap機能によって呼び出されるサーバーサイドのBashスクリプト内の脆弱性であり、Android File Transfer Configuration機能の一部であるmap-aft-store-urlスクリプトに存在します。

クラウドホスト型のIvanti Neurons for MDM製品、および別の製品であるIvanti Endpoint Manager (EPM) は影響を受けません。

3. 影響を受けた時の兆候

以下は、CVE-2026-1340による影響を受けた際の兆候です。

EPMMサーバーから未知の外部IPアドレスへの予期せぬアウトバウンドネットワーク接続。
EPMMサーバー上での異常なプロセス実行、特にEPMMアプリケーションによって生成された子プロセス。
EPMMインストールディレクトリ内の予期せぬファイル（例: ウェブシェルとして使用される/mifs/403.jsp）の変更または作成。
EPMMエンドポイントへの不正な形式または疑わしいリクエストを示すウェブサーバーアクセスログ。正当な機能利用はHTTP 200レスポンスを生成しますが、悪用試行はHTTP 404レスポンスに関連付けられます。これは、Apacheアクセスログ（/var/log/httpd/https-access_log）を、Bashコマンドを含むパラメータを持つGETリクエスト、特に/mifs/c/aftstore/fob/または/mifs/c/appstore/fob/へのHTTP 404レスポンスを伴うものを確認することで検出できます。
EPMMにおける不正な管理者アカウント。
mifs_ldap_server_config、mifs_ldap_users、またはmi_userテーブルに対する予期せぬデータベースクエリ。
異常なアウトバウンドDNSアクティビティ。
見慣れないJavaプロセス。
管理対象デバイス上での不正な管理操作の証拠。

4. 推奨対策

4.1 本対策

Ivantiが提供する最新のセキュリティパッチ（RPMアップデート）を直ちに適用してください。これらのRPMはバージョン固有です（例: RPM 12.x.0.xまたはRPM 12.x.1.x）。
これらの脆弱性を解決する最新のEPMMリリースバージョン（例: 12.8.0.0）にアップグレードしてください。

4.2 暫定回避策（緩和策）

EPMMの管理インターフェースへのネットワークアクセスを信頼できるIP範囲に限定してください。
潜在的に悪意のある入力をフィルタリングするために、Web Application Firewall (WAF) ルールを実装してください。
EPMMシステムの露出を制限するために、ネットワークセグメンテーションを実装してください。
強力な認証メカニズムを強制し、ユーザー権限を定期的に見直すことで、アクセス制御を強化してください。
パッチ適用前と適用後にEPMMサーバーで侵害の兆候を監視してください。
パッチが適用されておらずインターネットに公開されているEPMMインスタンスについては、侵害評価を実施してください。
メモリ内のインプラントをクリアするために、EPMMアプリケーションサーバーの再起動を検討してください。

他に解説すべき観点

CVE-2026-1281との関連: CVE-2026-1340は、Ivanti EPMMにおけるもう一つの認証バイパスの脆弱性であるCVE-2026-1281と組み合わせて悪用されることが多く、認証されていないRCE攻撃チェーンを形成します。両者ともに、共通脆弱性識別子CWE-94に分類されるコードインジェクションの脆弱性であり、同じくCVSSスコア9.8の緊急度の高い脆弱性です。
攻撃経路: 攻撃はネットワークベースであり、ユーザーの操作や事前の認証は不要です。攻撃者は、特別に細工されたHTTP GETリクエストを、既知のアプリケーション配布エンドポイントのhパラメータ内にコマンド置換ペイロードを含めて送信することで、この脆弱性を悪用できます。攻撃の実行に必要な複雑度は低いです。
ゼロデイ攻撃: この脆弱性は、パッチが利用可能になる前にゼロデイとして実際に活発に悪用されていたことが確認されており、CISAのKnown Exploited Vulnerabilities (KEV) カタログに追加されています。
標的となった組織: このキャンペーンは、米国、ドイツ、オーストラリア、カナダの地方自治体、医療、製造、専門・法務サービス、ハイテク分野に影響を与えました。オランダ政府を含む著名な組織が被害に遭いました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る