Ivanti – IoT OT Security News

MITRE が公表した 2024年1月の侵害：Ivanti のゼロデイを悪用する APT に侵入されていた

MITRE Revealed That Nation-State Actors Breached Its Systems Via Ivanti Zero-Days

2024/04/19 SecurityAffairs — 2024年4月に MITRE が公表したのは、その研究／試作ネットワークの１つに対して、セキュリティ侵害が生じていたことだ。同組織のセキュリティ・チームは直ちに調査を開始し、脅威アクターをログアウトさせ、サードパーティのフォレンジック・インシデント・レスポンス・チームに依頼し、社内の専門家と協力し、独自の分析を実施した。MITRE Corporation によると、この国家に支援された APT は、2024年1月に Ivanti Connect Secure の２つのゼロデイ脆弱性を連鎖させ、同社のシステムに侵入していた。

Ivanti Avalanche の脆弱性 CVE-2024-29204：Poc エクスプロイト・コードが公開された

Exploit Code Released for Severe Ivanti Avalanche Vulnerability (CVE-2024-29204)

2024/04/19 SecurityOnline — さまざまな企業で利用されている MDM (Mobile Device Management) ソリューション Ivanti Avalanche で確認された、深刻な脆弱性 CVE-2024-29204 (CVSS：9.8) に対する、PoC (proof-of-concept) エクスプロイト・コードが公開された。この脆弱性の悪用に成功した、認証されていないリモートの攻撃者は、脆弱なシステム上で任意のコード実行が可能になる。

Ivanti Avalanche MDM の 27件の脆弱性が FIX：ただちにアップデートを！

Ivanti warns of critical flaws in its Avalanche MDM solution

2024/04/16 BleepingComputer — Ivanti が 4月16日にリリースしたのは、同社の MDM (mobile device management) ソリューション Avalanche に存在する、27件の脆弱性を修正するセキュリティ更新プログラムである。Avalanche を使用する企業の管理者たちは、センタライズされた単一のロケーションからリモートで、100,000 台以上のモバイル・デバイスで構成される、大規模な集団を横断するかたちで管理し、ソフトウェアを展開し、アップデートをスケジューリングできる。

Ivanti 製品の脆弱性：中国系のハッカーが新たな TTP を開発している

Chinese Threat Actors Deploy New TTPs to Exploit Ivanti Vulnerabilities

2024/04/05 InfoSecurity — Ivanti の脆弱性を悪用した後に、横方向へと移動する新しいテクニックを、中国の脅威アクターたちが開発していることが、Mandiant の新しい調査により明らかになった。4月4日付けのブログ記事で Mandiant は、中国と関連があると疑われる５つのスパイ・グループの活動について詳述している。Ivanti の Connect Secure／Policy Secure ゲートウェイでは、脆弱性 CVE-2023-46805／CVE-2024-21887／CVE-2024-21893 の悪用が既に発見／報告されているが、この活度は、その後に続くものである。

Ivanti の新たな脆弱性 CVE-2024-21894：日本の存在する危険なインスタンスは 2,000 ？

New Ivanti RCE flaw may impact 16,000 exposed VPN gateways

2024/04/05 BleepingComputer — インターネット上に公開されている Ivanti の Connect Secure／Poly Secure ゲートウェイ約 16,500 台に、リモートコード実行 (RCE) の脆弱性が存在する可能性がある。今週初めにベンダーが対処した、この脆弱性 CVE-2024-21894 は、Ivanti Connect Secure 9.x／22.x の IPSec コンポーネントに存在する、深刻度の高いヒープオーバーフローに起因するものだ。認証されていないユーザーが、特別に細工したリクエストを送信することにより、サービス拒否 (DoS) やリモートコード実行にいたる可能性がある。

Ivanti に新たな脆弱性 CVE-2024-21894 などが発生：RCE／DoS 攻撃の恐れ

Ivanti fixes VPN gateway vulnerability allowing RCE, DoS attacks

2024/04/03 BleepingComputer — IT セキュリティ・ソフトウェア企業 Ivanti がリリースしたのは、同社の Connect Secure／Policy Secure ゲートウェイに影響を及ぼす、複数のセキュリティ脆弱性を修正するためのパッチである。脆弱性 CVE-2024-21894 の悪用に成功した未認証の脅威アクターは、ユーザーによる操作を必要としない複雑度の低い攻撃で、リモート・コードの実行やサービス拒否状態を、パッチを適用していないアプライアンス上で引き起こす可能性を得る。

NIST の脆弱性データベースの凍結：その将来に投げかけられる疑問とは？

NIST’s Vuln Database Downshifts, Prompting Questions About Its Future

2024/03/22 DarkReading — 2005年から NVD (National Vulnerability Database) は、世界中のセキュリティ研究者が発見した膨大な CVE (Common Vulnerabilities and Exposures) に関する、詳細情報を掲載してきた。しかし、この政府が後援する、重要かつ不可欠なデータベースが、2024年2月以降においては、ほぼ無意味なツールと化している。

Ivanti Standalone Sentry の脆弱性 CVE-2023-41724 などが FIX： NATO が発見／報告

Ivanti fixes critical Standalone Sentry bug reported by NATO

2024/03/20 BleepingComputer — Ivanti は、Standalone Sentry の深刻な脆弱性 CVE-2023-41724 に対して、直ちにパッチを当てるよう顧客に警告している。この脆弱性は、NATO Cyber Security Centre の研究者たちにより報告されたものだ。ユーザー組織の Kerberos Key Distribution Center Proxy (KKDCP) サーバ、または、ActiveSync 対応の Exchange／Sharepoint サーバのゲートキーパーとして、Standalone Sentry は配備されている。

Magnet Goblin というハッカー：Ivanti のワンデイ脆弱性をわずか数時間で悪用

‘Magnet Goblin’ Exploits Ivanti 1-Day Bug in Mere Hours

2024/03/13 DarkReading — 2024年の初めには、Ivanti のエッジ・デバイスに脅威が集中した。そのうちの１つは、PoC 公開の翌日に One-day エクスプロイトを展開するという、きわめて素早い動きを見せつけていた。そして、この数カ月で悪用が明らかになった５つの脆弱性のうち、Ivanti Connect Secure／Policy Secure ゲートウェイのコマンド・インジェクションの脆弱性 CVE-2024-21887 (CVSS：9.1) は、注目に値するものである。

CISA で発生したデータ侵害：Ivanti 製品の脆弱性が悪用された

Ivanti Breach Prompts CISA to Take Systems Offline

2024/03/12 DarkReading — Ivanti 製品の脆弱性を悪用したハッカーが、2月に米国の CISA (Cybersecurity and Infrastructure Security Agency) のシステムに侵入していたことが分かった。CISA の広報担当者は、約１か月前に、同機関が使用している２つの Ivanti 製品で不審な活動が確認されていたことを認めている。これらのシステムは、直ちにオフラインにされたが、この侵入が誰によるものなのか、データへのアクセスや盗難があったのかどうかは不明だという。

Five Eyes Alliance の脆弱性警告：Ivanti が反論する永続化の実態とは？

Five Eyes Alliance Warns Of Attacks Exploiting Known Ivanti Gateway Flaws

2024/03/01 SecurityAffairs — Five Eyes Intelligence Alliance が発表したのは、Ivanti Connect Secure／Policy Secure Gateway に存在する、既知の脆弱性を悪用する脅威者について警告する、共同サイバー・セキュリティ勧告である。この勧告には、Connect Secure／Policy Secure の脆弱性 CVE-2023-46805／CVE-2024-21887／CVE-2024-21893 の悪用に関する詳細が記載されている。複数の脅威アクターたちが一連の問題を連鎖させ、認証を回避し、悪意のリクエストを作成し、昇格した権限で任意のコマンドを実行している。

Ivanti Connect Secure VPN の脆弱性：中国由来ハッカーによるマルウェア展開で悪用

State-sponsored hackers know enterprise VPN appliances inside out

2024/02/29 HelpNetSecurity — Ivanti Connect Secure VPN の脆弱性を悪用して、さまざまな組織に侵入している、中国の国家支援ハッカーと思われるグループ UNC5325 は、アプライアンスに精通しているようだと、Mandiant のインシデント対応者や脅威ハンターたちは述べている。このハッカーたちは、デバイス上で数多くの改ざんを行っていた。さらに、システムのアップグレード／パッチ適用／工場出荷状態リセットなどの対策に影響されることなく、侵入した環境での永続性を獲得するために、UNC5325 は特殊なマルウェアやプラグインの展開も成功させていた。

Ivanti の SSRF 脆弱性 CVE-2024-21893：新たな DSLog バックドアの展開に悪用される

Hackers exploit Ivanti SSRF flaw to deploy new DSLog backdoor

2024/02/12 BleepingComputer — Ivanti Connect Secure／Policy Secure／ZTA Gateway の SSRF (Server-Side Request Forgery) 脆弱性の悪用に成功した攻撃者が、脆弱なデバイス上に新しい DSLog バックドアを展開していることが分かった。この脆弱性 CVE-2024-21893 は、2024年1月31日にアクティブに悪用されるゼロデイとして公開されたものであり、Ivanti からはセキュリティ・アップデートと緩和策が共有されている。

Ivanti ICS に新たな脆弱性 CVE-2024-22024：パッチ適用までの緩和策とは？

Ivanti: Patch new Connect Secure auth bypass bug immediately

2024/02/08 BleepingComputer — 2月8日に Ivanti は、Connect Secure／Policy Secure／ZTA Gateway に影響を及ぼす、新たな認証バイパスの脆弱性について警告し、管理者たちにアプライアンスを直ちに保護するよう促した。この脆弱性 CVE-2024-22024 は、ゲートウェイの SAML コンポーネントの XXE (XML eXternal Entities) に起因するものである。その悪用に成功したリモート攻撃者は、ユーザーの操作や認証を必要としない低複雑度の攻撃で、パッチ未適用のアプライアンス上の制限されたリソースにアクセスできるという。

Ivanti の新たな脆弱性 CVE-2024-21888／CVE-2024-21893：攻撃が急増している

Experts Warn Of A Surge Of Attacks Targeting Ivanti SSRF Flaw

2024/02/05 SecurityAffairs — Ivanti の SSRF (Server-Side Request Forgery) の脆弱性 CVE-2024-21893 が、最近のサイバー攻撃で、さまざまな脅威アクターにより活発に悪用されている。1月31日に Ivanti が発した警告は、同社の Connect Secure／Policy Secure ソリューションに、それぞれ２つの新たな深刻な脆弱性 CVE-2024-21888 (CVSS：8.8)／CVE-2024-21893 (CVSS：8.2) が存在するというものだ。同社によると、CVE-2024-21893 は、野放し状態で活発に悪用されているという。

Ivanti VPN 上でポスト・エクスプロイト・マルウエアを観測：中国由来の APT UNC5221 の活動と重複

Warning: New Malware Emerges in Attacks Exploiting Ivanti VPN Vulnerabilities

2023/02/01 TheHackerNews — Ivanti の Connect Secure VPN／Policy Secure デバイスを標的とするポスト・エクスプロイトの活動において、UNC5221 という中国由来のスパイ・アクターなどが採用する新たなマルウェアを確認したと、Google 傘下の Mandiant が発表した。それらのマルウエアに含まれるのは、BUSHWALK／CHAINLINE／FRAMESTING／LIGHTWIRE などの、カスタム Web シェルの亜種である。

CISA が異例の通達：Ivanti の疑わしいインスタンスを 48時間以内に隔離せよ

CISA Sets 48-hour Deadline for Removal of Insecure Ivanti Products

2024/02/01 SecurityWeek — 米国政府のサイバーセキュリティ機関 CISA は連邦政府機関に対して、Ivanti Connect Secure／Policy Secure の全製品のインスタンスを、48時間以内に切断せよという、前例のない要求を通達している。CISA は、「可能な限り早急に、また、遅くとも 2024年2月2日 (金) の午後11時59分までに、Ivanti Connect Secure／Policy Secure ソリューションの全インスタンスを、政府機関のネットワークから切断せよ」と、新たな緊急指令において圧力を強めている。防御側にとって必要とされるのは、実環境で積極的に悪用されている、少なくとも３件の Ivanti セキュリティ欠陥を軽減することである。

Ivanti の新たな脆弱性 CVE-2024-21888／CVE-2024-21893：すでに悪用を観測

Ivanti Warns Of A New Actively Exploited Zero-Day

2024/01/31 SecurityAffairs — Ivanti の警告は、Connect Secure／Policy Secure で新たに発見された、２つの脆弱性 CVE-2024-21888 (CVSS：8.8)／CVE-2024-21893 (CVSS：8.2) に関するものである。同社によると、CVE-2024-21893 は、野放し状態で活発に悪用されているという。１つ目の脆弱性 CVE-2024-21888 は、Ivanti Connect Secure (9.x/22.x) ／Policy Secure (9.x/22.x) の Web コンポーネントに存在する権限昇格の欠陥であり、悪用に成功した攻撃者は、管理者権限を得る可能性があるという。

Ivanti の脆弱性 CVE-2023-46805／CVE-2024-21887：KrustyLoader マルウェアの配布に悪用

Hackers Exploiting Ivanti VPN Flaws to Deploy KrustyLoader Malware

2024/01/31 TheHackerNews — 最近に公開された Ivanti Connect Secure (ICS) VPN (Virtual Private Network) デバイスの２つのゼロデイ脆弱性が、KrustyLoader というペイロードの配信に悪用されている。KrustyLoader とは、オープンソースの Sliver 攻撃シミュレーション・ツールを投下するために使用される、Rust ベースのツールのことである。悪用が確認されている脆弱性 CVE-2023-46805 (CVSS：8.2)／CVE-2024-21887 (CVSS：9.1) は、認証されていない攻撃者に対して、影響を受けやすいアプライアンス上でのリモート・コード実行を許す可能性があるものだ。

Ivanti Avlanche の脆弱性 CVE-2023-41474：PoC が提供されている

CVE-2023-41474: Ivanti Avalanche Directory Traversal Flaw, PoC Published

2024/01/29 SecurityOnline — Ivanti Avalanche は、Mobile Device Management (MDM) 領域の強力なツールであり、堅牢な倉庫スキャナから洗練された小売用タブレットにいたるまでの、さまざまなデバイスを管理する迷路の中で、組織を導く道標の役割を果たしている。

Ivanti VPN アプライアンスで発見：WIREFIRE Web シェル亜種のステルス性とは

Cybersecurity Alert: Unseen WIREFIRE Web Shell Variant in ICS VPN Appliances

2024/01/28 SecurityOnline — 先日に QuoIntelligence が発見したのは、Python ベースのインプラントである WIREFIRE という Web シェルの新たな亜種だ。この亜種が発見されたのは、２つのゼロデイ脆弱性 CVE-2024-21887／CVE-2023-46805 を悪用して侵害された、Ivanti Connect Secure (ICS) VPN アプライアンスである。この亜種の登場が浮き彫りにするのは、サイバー・スパイ戦術の大幅な進化であり、また、インターネットに面した VPN デバイスのセキュリティに関する懸念である。

CISA 警告：Ivanti の脆弱性 CVE-2023-46805／CVE-2024-21887 の活発な悪用

CISA Issues Emergency Directive to Federal Agencies on Ivanti Zero-Day Exploits

2024/01/20 TheHackerNews — 2024年1月19日に、米国の CISA (Cybersecurity and Infrastructure Security Agency) は、Ivanti Connect Secure (ICS)／Ivanti Policy Secure (IPS) 製品に存在し、活発に悪用されている２つのゼロデイ脆弱性に対して緩和策を実施するよう、連邦民間行政機関 (FCEB) に緊急指令を発出した。今回の指令は、これらの脆弱性 (認証バイパスの CVE-2023-46805／コード・インジェクション CVE-2024-21887) が、複数の脅威アクターにより広く悪用されていることを受けて発令された。これらの脆弱性の悪用に成功した攻撃者は、悪意のリクエストを作成して、システム上で任意のコマンド実行が可能になる。

CISA KEV 警告 24/01/18：Ivanti の脆弱性 CVE-2023-35082 を追加

CISA: Critical Ivanti auth bypass bug now actively exploited

2024/01/18 BleepingComputer — CISA は、Ivanti の Endpoint Manager Mobile (EPMM) および MobileIron Core デバイス管理ソフトウェアに存在する、深刻な認証バイパスの脆弱性が、いまも積極的に悪用されていると警告している。この、2023年8月にパッチ適用済の脆弱性 CVE-2023-35082 は、認証を必要としないリモートからの API アクセスの脆弱性であり、EPM 11.10／11.9／11.8 および MobileIron Core 11.7 以下の、すべてのバージョンに影響を及ぼすものだ。

Ivanti Connect Secure の２つの脆弱性：複数の脅威アクターにより攻撃がエスカレート

Ivanti Connect Secure zero-days now under mass exploitation

2024/01/15 BleepingComputer — Ivanti の Connect Secure VPN および Policy Secure Network Access Control (NAC) アプライアンスに影響を及ぼす、２つのゼロデイ脆弱性が大規模なレベルで悪用されている。脅威インテリジェンス企業 Volexity が発見した、このゼロデイ脆弱性は 2023年12月以降の攻撃で悪用されてきた。そして、2024年1月11日からは複数の脅威グループが、CVE-2023-46805 (認証バイパス) および CVE-2024-21887 (コマンド・インジェクション) 脆弱性を連鎖させ、広範な攻撃を行っている。

Ivanti Connect Secure のゼロデイ脆弱性：カスタム・マルウェアのデプロイを観測

Ivanti Connect Secure zero-days exploited to deploy custom malware

2024/01/12 BleepingComputer — 今週に公開された Ivanti Connect Secure の２つのゼロデイ脆弱性だが、スパイ行為を目的とした複数のカスタム・マルウェア・ファミリーの展開において、2023年12月初旬から悪用されていたことが判明した。これらの脆弱性 CVE-2023-46805／CVE-2024-21887 の悪用に成功した攻撃者は、認証をバイパスして、脆弱なシステム上で任意のコマンド注入を可能にしていた。ただし Ivanti は、少数の顧客が標的にされていたに過ぎないと述べている。

CISA KEV 警告 24/01/10：Ivanti とSharepoint の脆弱性を悪用リストに追加

CISA Adds Ivanti And Microsoft Sharepoint Bugs To Its Known Exploited Vulnerabilities Catalog

2024/01/11 SecurityAffairs — 米国の Cybersecurity and Infrastructure Security Agency (CISA) は、Ivanti Connect Secure および Policy Secure の脆弱性 CVE-2024-21887／CVE-2023-46805 と、Microsoft SharePoint Server の脆弱性 CVE-2023-29357 を、Known Exploited Vulnerabilities (KEV) カタログに追加した。

Ivanti が警告：脆弱性 CVE-2023-46805／CVE-2024-21887 の連鎖が生み出す最悪の事態

Ivanti warns of Connect Secure zero-days exploited in attacks

2024/01/10 BleepingComputer — Ivanti の Connect Secure (ICS) および Policy Secure に存在する２つのゼロデイ脆弱性が公表されたが、それらを組み合わせるリモートの攻撃者により、標的のゲートウェイ上で任意のコマンド実行が可能になることが判明している。１つ目の脆弱性 CVE-2023-46805 は、ゲートウェイの Web コンポーネントにおける認証バイパスであり、制御チェックを回避する攻撃者に対して、制限されたリソースへのアクセスを許すものである。そして、２つ目の脆弱性 CVE-2024-21887 は、コマンド・インジェクションを許すものである。したがって、認証された管理者が、特別に作成されたリクエストを送信することで、脆弱なアプライアンス上での任意のコマンド実行が可能になるという。

Ivanti EPM の脆弱性 CVE-2023-39336 が FIX：登録デバイスの乗っ取りにいたる

Ivanti warns critical EPM bug lets hackers hijack enrolled devices

2024/01/04 BleepingComputer — Ivanti の EPM (Endpoint Management Software) に存在する、深刻なリモートコード実行 (RCE) の脆弱性が修正された。この脆弱性が、未認証の攻撃者に悪用されると、登録されたデバイスまたはコアサーバの乗っ取りの可能性が生じる。Ivanti EPM は、Windows／macOS／Chrome OS から、IoT オペレーティング・システムにいたるまでの、幅広いプラットフォームで実行される、クライアント・デバイスの管理を支援するものだ。

Ivanti Avalanche の深刻な脆弱性 13件が FIX：RCE などにいたる恐れ

Ivanti releases patches for 13 critical Avalanche RCE flaws

2023/12/20 BleepingComputer — Ivanti の Avalanche MDM (mobile device management) ソリューションで発見された、13件の Critical な脆弱性を修正する、セキュリティ・アップデートがリリースされた。Avalanche を利用する管理者は、センタライズされたロケーションからインターネットを介して、10万台以上ものモバイル・デバイスを管理し、ソフトウェア展開やアップデートのスケジューリングも可能にする。12月20日 (水) に Ivanti が発表したように、これらのセキュリティ欠陥は、WLAvalancheService スタック／ヒープ・バッファオーバーフローに起因するものであり、Tenable のセキュリティ研究者と Trend Micro の ZDI により報告されたものである。

Ivanti EPMM の脆弱性 CVE-2023-39335／CVE-2023-39337：なりすましや証明書窃取の可能性

Ivanti Endpoint Manager Mobile Flaws Could Allow Device Impersonation and Certificate Theft

2023/11/14 SecurityOnline — エンタープライズ・ソフトウェアの分野で名高い Ivanti は、2023年11月9日に、同社の Endpoint Manager Mobile (旧 MobileIron Core) に存在する、２つの深刻な脆弱性 CVE-2023-39335／CVE-2023-39337 について情報を公表した。これらの脆弱性は、広く使用されているこのエンタープライズ・モビリティ管理ソリューションの、すべてのバージョンに深刻な影響をおよぼす。

Ivanti Sentry の脆弱性 CVE-2023-38035：PoC エクスプロイトが公開

Exploit released for Ivanti Sentry bug abused as zero-day in attacks

2023/08/24 BleepingComputer — Ivanti Sentry に存在する、認証バイパスの脆弱性の悪用に成功した攻撃者は、脆弱なシステムの root としてリモート・コード実行が可能になる。この脆弱性 CVE-2023-38035 は、サイバー・セキュリティ企業 mnemonic により発見されたものであり、Apache HTTPD の設定が十分に制限されていないことに起因する。その結果として、機密性の高い Sentry 管理者インターフェース API への、攻撃者によるアクセスを許すことになる。具体的に言うと、Ivanti Sentry のバージョン 9.18 以下を実行しているシステム上で、システム・コマンドの実行やファイルへの書込みが可能になる。

Ivanti Sentry の深刻な脆弱性 CVE-2023-38035 が FIX：Apache HTTPD 認証がカギ

Ivanti warns of new actively exploited MobileIron zero-day bug

2023/08/21 BleepingComputer — 8月21日に、米国の IT ソフトウェア会社 Ivanti は、Sentry API 認証バイパスの脆弱性が悪用されているとして、顧客へ向けて警告を発した。 Ivanti Sentry (旧 MobileIron Sentry) は、Microsoft Exchange Server のようなエンタープライズ ActiveSync サーバや、Sharepoint サーバのようなバックエンド・リソースのゲートキーパーとして機能するものであり、Kerberos Key Distribution Center Proxy (KKDCP) サーバとしても機能する。

Ivanti Avalanche の深刻な脆弱性 CVE-2023-32560 が FIX：脅威アクターが探索！

Critical Security Flaws Affect Ivanti Avalanche, Threatening 30,000 Organizations

2023/08/16 TheHackerNews — 30,000 もの組織で使用されているエンタープライズ・モバイル・デバイス管理ソリューション Ivanti Avalanche に、複数の深刻なセキュリティ欠陥が存在すると報告されている。これらの脆弱性は、Ivanti Avalanche WLAvanacheServer.exe v6.4.0.0 のスタックバッファ・オーバーフローとして、CVE-2023-32560 (CVSS：9.8) にまとめられている。この欠陥は、特定のデータ・タイプを処理した結果として発生する、バッファ・オーバーフローに起因していると、サイバー・セキュリティ企業 Tenable は述べている。

Ivanti EPMM (MobileIron) のゼロデイ CVE-2023-35078 が FIX：早急にパッチ適用を！

Ivanti patches MobileIron zero-day bug exploited in attacks

2023/07/24 BleepingComputer — 7月23日に、米国の IT ソフトウェア企業である Ivanti は、同社のモバイル・デバイス管理ソフトウェアである Endpoint Manager Mobile (EPMM／旧 MobileIron Core) のゼロデイ脆弱性にパッチを適用した。この、リモート認証を必要としない API アクセスの脆弱性は、CVE-2023-35078 として追跡されている。そしてパッチ適用は、EPM 11.8.1.1／11.9.1.1／11.10.0.2 で対処されている。なお、11.7.0.0／11.5.0.0 を含む、11.8.1.0 以下の未サポート／サポート終了のバージョンも対象となる。

米政府職員のセキュリティ意識：20％が雇用主へのハッキングに無関心だと回答

Fifth of Government Workers Don’t Care if Employer is Hacked

2023/03/09 InfoSecurity — 説明責任を果たさない文化と、不十分なサイバー衛生と、限られたスタッフ・トレーニング・・・このような傾向が、世界中の政府にサイバー・リスクの大きな嵐を生み出し、その一方では、深刻なデータ漏洩の可能性に対して、多くの職員が無関心になっていると、Ivanti は警告している。セキュリティ・ベンダーである Ivanti は、世界中の公共部門の職員 800人を対象にアンケートを実施し、新しい Government Cybersecurity Status Report を公開した。

Pulse Connect Secure VPN：日本も含めてパッチ未適用が 4,000 台以上

Over 4,000 Vulnerable Pulse Connect Secure Hosts Exposed to Internet

2022/12/09 SecurityWeek — インターネット・アクセスが可能な、4,000 台以上の Pulse Connect Secure ホストが、少なくとも１つの既知の脆弱性の影響を受けていると、情報セキュリティ企業である Censys が警告している。Pulse Connect Secure は、ユーザー企業におけるリモート／モバイルを介した安全なアクセスを実現する、SSL VPN ソリューションとして広く導入されている。そして、この VPN アプライアンスは、2020年に Pulse Secure を買収した、Ivanti の製品群の１つとなっている。

2021 調査：288種類の脆弱性を悪用する 157 のランサムウェア・ファミリー

Ransomware families becoming more sophisticated with newer attack methods

2022/01/28 HelpNetSecurity — Ivanti／Cyber Security Works／Cyware の三社は、2021年には 32種類のランサムウェア・ファミリーが登場し、合計 157種類となり、前年比で 26％増になったことを Ransomware 2021 Year End Report で明らかにした。同レポートによると、これらのランサムウェアは、パッチが適用されていない脆弱性を標的とし、ゼロデイ脆弱性を記録的な速さで武器化し、致命的な攻撃を仕掛けることが判明した。また、これらのランサムウェア・グループは、攻撃範囲を拡大し、組織のネットワークを危険にさらす新たな方法を見つけ出し、大きなインパクトを与える攻撃を大胆に仕掛けている。

CISA マルウェア解析レポート：Pulse Secure VPN 攻撃の詳細とは？

CISA publishes malware analysis reports on samples targeting Pulse Secure devices

2021/08/26 SecurityAffairs — 米 CISA は、侵害された Pulse Secure デバイスで発見されたサンプルに関連する、５つのマルウェア解析レポート (MAR : Malware Analysis Reports) を公開した。それは、Pulse Secure 侵害に対する継続的な対応の一環として、悪用された Pulse Secure デバイスに関連する、５つのマルウェア・サンプルを分析するものだ。CISA のアドバイザリには、「ユーザーおよび管理者は、以下の５つのマルウェア解析レポート (MAR) を参照し、脅威主体の戦術／技術／手順 (TTP) と侵害の指標 (IOC) を確認し、詳細については CISA アラート Exploitation of Pulse Connect Secure Vulnerabilities での確認を推奨する」と記載されている。

Ivanti Pulse Connect Secure VPN に存在する深刻なコード実行脆弱性が FIX

Ivanti fixed a critical code execution issue in Pulse Connect Secure VPN

2021/08/06 SecurityAffairs — Ivanti の Pulse Connect Secure VPN アプライアンスに存在する、複数の脆弱性に対処するためのセキュリティ・アップデートが公開された。最も深刻な脆弱性 CVE-2021-22937 は、Pulse Connect Secure の管理者用 Web インターフェイスに存在する高危険度のリモートコード実行の脆弱性である。リモートの攻撃者は、この脆弱性を悪用して任意のファイルを上書きし、root 権限でコードを実行できる。この脆弱性の CVSS は 9.1 であり、2021年10月にリリースされた CVE-2020-8260 対処するための、パッチのバイパスに起因すると、専門家たちは指摘している。

中国からの Pulse Secure を介したサイバー攻撃が重要産業を狙う？

Chinese cyberattack breached dozens of high-value entities using Pulse Secure networking tool

2021/06/15 SCMP — 中国が行ったとされるサイバー・スパイ活動は、これまでに認識されていた以上の範囲に及び、米国の重要産業のコンピュータに侵入するために、インターネット・セキュリティを強化するデバイスを悪用したと推測される。この４月に、Pulse Connect Secure ネットワーク・デバイスへのハッキングが明らかになったが、ようやくその範囲が明らかになった。

Pulse Secure のゼロデイを悪用したニューヨーク都市交通局への侵入

China-linked attackers breached Metropolitan Transportation Authority (MTA) using Pulse Secure zero-day

2021/06/04 SecurityAffairs — 中国由来と推測される脅威アクターたちが、Pulse Secure のゼロデイを悪用して、ニューヨーク市の都市交通局 (Metropolitan Transportation Authority : MTA) のネットワークに侵入した。この侵入は 4月に発生しているが、攻撃者たちは MTA の列車制御システムへのアクセスに失敗しており、被害は発生しなかったとされる。