upKeeper IPA の脆弱性 CVE-2024-9478／9479 が FIX：CVSSv4 値は 10.0

CVE-2024-9478 & CVE-2024-9479: upKeeper IPA Flaws Rated CVSSv4 10 Now Resolved

2024/11/21 SecurityOnline — upKeeper の Instant Privilege Access (IPA) 製品に存在する、２つの重大な脆弱性 CVE-2024-9478／CVE-2024-9479 (CVSSv4：10) が修正された。この特権アクセス管理ソリューションの脆弱性による、システムへの潜在的な影響が示唆される。

upKeeper の Instant Privilege Access (IPA) は、特定タスクを実行するユーザーが自己昇格権限を使用し、IT 管理者への依存度を軽減するために設計された、サイバー・セキュリティ・ソリューションである。したがって、従来からの方法である恒久的な管理者権限の付与や、時間を要するヘルプデスク依頼などに比べて、より効率的で安全なユーザー権限管理方法が提供される。

CVE-2024-9478：不適切な特権管理の脆弱性
エージェント監査プロセスに存在する脆弱性であり、その悪用に成功した攻撃者は、承認されていないアプリケーションの昇格モードでの実行を達成する。結果として、機密データやシステム・リソースへの不正アクセスがトリガーされ、データ漏洩／マルウェア・インストール／システム侵害などにつながる可能性がある。

CVE-2024-9479：不適切な特権管理の脆弱性
エージェント監査プロセスにおける脆弱性であり、攻撃者は昇格した特権を不正に取得し、未承認のサブプロセスの実行を達成する。この脆弱性が悪用されると、セキュリティ対策の回避／特権昇格／悪意のコード実行などが発生し、システムのセキュリティと整合性が危険にさらされる。

すでに upKeeper は、アップデート版をリリースし、これらの脆弱性を緩和している。

upKeeper Instant Privilege Access 1.1 以下を使用する、すべてのユーザーに対して強く推奨されるのは、バージョン 1.2 への即時アップグレードである。このアップデートでは、エージェント監査プロセスの強化と、不正アプリケーションと監査サブプロセスの効果的なシャットダウンが実現され、それぞれの脆弱性への対応が完了している。

upKeeper の Instant Privilege Access (IPA) に存在する、２つの深刻な脆弱性が FIX しました。ご利用のチームは、ご注意ください。このブログでは初登場の upKeeper ですので、同社の Web を調べてみたところ、「upKeeper Solutions AB は、2008 年に設立されたスウェーデンのソフトウェア会社であり、スウェーデン北部の Umea に所在する。あらゆるデバイス向けの、クライアント管理／展開のための最先端のソリューションを開発／販売しています。当社の製品は、フォン／タブレット／PC などの、あらゆるデバイスの管理を自動化／効率化する」と紹介されていました。Ivanti みたいな会社なんでしょうかね？