Ivanti Connect Secure／Policy Secure／ZTA Gateways の複数の脆弱性が FIX：ただちにパッチを！

Multiple Vulnerabilities Discovered in Ivanti Connect Secure, Policy Secure, and ZTA Gateways

2025/09/09 gbhackers — 9月9日 (火) に Ivanti が公開したのは、Ivanti Connect Secure／Policy Secure／ZTA Gateways／Neurons for Secure Access に影響を及ぼす、深刻度 High の脆弱性５件と、Medium の６件を詳述するセキュリティ・アドバイザリである。これらの脆弱性は、認証チェックの不備やサービス拒否攻撃から、クロス・サイト・リクエスト・フォージェリ (CSRF) やサーバ・サイド・リクエスト・フォージェリ (SSRF) に至るという。現時点において、ユーザー・サイドにおける悪用の事例は確認されていない。また、多様な問題に対処するためのパッチと修正プログラムが、直ちに提供されている。

脆弱性が影響を及ぼす範囲

このアドバイザリは、オンプレミス製品とクラウド製品を含む、複数のコンポーネントを対象としている。影響を受けるバージョンは以下の通りである：

  • Ivanti Connect Secure 22.7R2.8 以前
  • Policy Secure 22.7R1.4 以前
  • ZTA Gateways 22.8R2.2
  • Neurons for Secure Access 22.8R1.3 以前

すでに Ivanti は、2025年8月2日の時点で、すべての製品に対して修正プログラムを展開している。また、Neurons for Secure Access のクラウド環境は自動的に更新されている。

CVE NumberDescriptionCVSS ScoreSeverity
CVE-2025-8712Missing authorization allows remote authenticated read-only admin to change restricted settings.5.4Medium
CVE-2025-8711CSRF enables remote unauthenticated attacker to perform limited actions with victim interaction.5.4Medium
CVE-2025-55145Missing authorization allows remote authenticated attacker to hijack existing HTML5 connections.8.9High
CVE-2025-55146Unchecked return value enables remote authenticated admin to trigger denial of service.4.9Medium
CVE-2025-55147CSRF permits remote unauthenticated attacker to execute sensitive actions with user interaction.8.8High
CVE-2025-55148Missing authorization allows remote authenticated read-only admin to configure restricted settings.7.6High
CVE-2025-55139SSRF lets remote authenticated admin enumerate internal services.6.8Medium
CVE-2025-55141Missing authorization permits remote authenticated read-only admin to configure authentication.8.8High
CVE-2025-55142Missing authorization permits remote authenticated read-only admin to configure authentication.8.8High
CVE-2025-55143Reflected text injection allows remote unauthenticated attacker to inject arbitrary HTTP response.6.1Medium
CVE-2025-55144Missing authorization enables remote authenticated read-only admin to configure restricted settings.5.4Medium
緩和策と推奨事項
  • Ivanti Connect Secure：Ivanti ダウンロード・ポータルから 22.7R2.9／22.8R2 にアップデートする。
  • Ivanti Policy Secure：ポータルから 22.7R1.5 にアップグレードする。
  • ZTA Gateways：コントローラ・インターフェイスからバージョン 22.8R2.3-723 をダウンロード／インストールする。
  • Neurons for Secure Access：顧客による対応は不要。8月2日の時点で、クラウドは自動修正済みである。

管理ポータルを、インターネットに直接公開することは避けるべきである。推奨されるネットワーク制御によるアクセス制限は、Ivanti のセキュリティ・ガイダンスおよび業界のベストプラクティスに準拠するものだ。Ivanti の脆弱性開示ポリシーの詳細は、Ivanti サポート・ページを参照してほしい。

脆弱性 CVE-2025-55145 を報告した、セキュリティ研究者 Nikolay Semov に Ivanti は謝意を表している。

ソフトウェア・コンポーネントを最新の状態に保つことは、きわめて重要である。管理者に対して強く推奨されるのは、これらのパッチを速やかに適用し、リモート・アクセスおよびゼロ・トラスト・ゲートウェイ導入における、セキュリティと整合性を維持することである。

Ivanti 製品に複数の脆弱性が報告されました。脆弱性の種類として目立つのは、認証チェックの欠落や不十分なアクセス制御であり、権限の低い管理者アカウントであっても悪用が可能なものです。また、CSRF や SSRF といった仕組みを悪用する攻撃者は、ユーザー操作の偽装などにより、内部サービスを探索する可能性を得ます。ご利用のチームは、ご注意ください。よろしければ、Ivanti で検索も、ご参照ください。