Ivanti CSA 4.6 の 脆弱性 CVE-2024-8963：EoL へのパッチ提供と CISA KEV 登録

Critical Flaw in Ivanti CSA 4.6: CVE-2024-8963 Actively Exploited, Urgent Upgrade Required

2024/09/19 SecurityOnline — Ivanti が公表したのは、Ivanti Connect Secure Appliance (CSA) 4.6 に存在する重大な脆弱性のアドバイザリである。この脆弱性 CVE-2024-8963 (CVSS：9.4) に関しては、すでに積極的な悪用が確認されており、Ivanti CSA の EOL (End-of-Life) バージョンのユーザーに対して重大なリスクをもたらしている。

脆弱性 CVE-2024-8963 は、リモートで認証されていない攻撃者が、Ivanti CSA 4.6 の制限された機能への不正アクセスを可能にする、パス・トラバーサル脆弱性であると説明されている。この脆弱性 CVE-2024-8963 と、別の脆弱性 CVE-2024-8190 と併用されると、攻撃者は管理者認証をバイパスし、影響を受けるアプライアンス上で任意のコマンド実行を達成するため、システムのさらなる悪用に発展する可能性が生じる。

Ivanti CSA 4.6 は、すでにサポート終了 (EOL) の状態となっており、OS やサードパーティ・ライブラリに対する定期的なセキュリティ・アップデートは提供されていない。しかし、2024年9月10日にリリースされたパッチ (CSA 4.6 Patch 519) が、この脆弱性を修正しており、このバージョンに対する最後のバックポート修正となっている。

すでに Ivanti が確認しているのは、CVE-2024-8963 が実環境で悪用されていること、そして、一部の顧客が攻撃の被害に遭っていることである。おのため、米国の CISA (Cybersecurity and Infrastructure Security Agency) は、この脆弱性を KEV カタログに追加し、組織に優先的な修正を促している。

現時点において、Ivanti CSA 4.6 を使用している組織は、重大な課題に直面している。2024年9月より、CSA 4.6 は公式にサポート対象外となり、Patch 519 を適用していないユーザーは、きわめて脆弱な状態に陥る。今後において Ivanti は、このバージョンへのパッチは提供しないとしており、ユーザーが Ivanti CSA 5.0 にアップグレードしない限り、脆弱性は恒久的な脅威となる。新しいバージョンは、脆弱性 CVE-2024-8963 の影響を受けることはなく、また、今後においてもサポートされる唯一の製品である。

いまも Ivanti CSA 4.6 を運用している組織に強く推奨されるのは、ただちに CSA 5.0 へとアップグレードし、この重大なセキュリティ上の欠陥に対する継続的なサポートと保護を確保することだ。バージョン 4.6 に対するパッチ適用が、一時的な応急処置になるかもしれないが、EOL の状態を打ち切り、新しいバージョンへと移行することが不可欠である。

Ivanti Connect Secure Appliance (CSA) の脆弱性 CVE-2024-8963 (CVSS：9.4) が FIX とのことですが、OL (End-of-Life) バージョンである CSA 4.6 に対してのみ影響が生じ、すでに積極的な悪用が確認されているようです。また、別の脆弱性である CVE-2024-8190 と連鎖することで、状況が複雑化すると指摘されています。よろしければ、CVE-2024-8190 で検索も、ご利用ください。