(1) 概要
本ページでは、2024年1月以降に公開されたIvanti Connect Secure（旧: Pulse Connect Secure）およびIvanti Policy Secureゲートウェイなどにおける深刻度の高い脆弱性に関する情報を掲載します。脆弱性情報の公開日やアドバイザリのリンク、回避策や対策（修正パッチ）情報の公開開始日、脆弱性の実証コード（PoC）の公開日、既知の悪用事例などに関する情報をまとめています。
2024年1月10日以降、複数の脆弱性に関する情報が公開され、頻繁に更新されている状況です。同製品を利用している場合、Ivantiなどが提供する最新の情報を参考に、脆弱性に関する調査や対策実施をご検討ください。対象となる製品名やバージョン、対策方法、調査方法などに関する詳細や最新の情報は、Ivantiが提供するアドバイザリの最新の情報をご確認ください。
(2) 脆弱性に関する状況
| 情報公開日 | 脆弱性内容（CVE） | 回避策／対策 公開開始日 |
PoC 公開日 |
既知の悪用事例（参考リンク） |
|---|---|---|---|---|
| 2024-01-10 | 認証バイパス（CVE-2023-46805） コマンドインジェクション （CVE-2024-21887） |
2024-01-10 回避策 2024-01-31 対策 |
2024-01-16 | 2023-12に限定的な攻撃で悪用（参考1,2） 2024-01-11頃からwebshell設置攻撃（参考） 2024-01-16頃以降は多様な攻撃で悪用（参考） |
| 2024-01-31 | 権限昇格（CVE-2024-21888） SSRF（CVE-2024-21893） |
2024-01-31 回避策 2024-01-31 対策 |
2024-02-02 | 2024-01頃に限定的な攻撃で悪用（参考） 2024-02-02頃以降は多様な攻撃で悪用（参考） |
| 2024-02-08 | XML外部実体参照 （CVE-2024-22024） |
2024-01-31 回避策 2024-02-08 対策 |
2024-02-09 | - |
| 2024-04-02 | ヒープベースのBOF （CVE-2024-21894、22053） NULLポインタ参照 （CVE-2024-22052） XML外部実体攻撃 （CVE-2024-22023） |
2024-04-02 対策 | - | - |
※ 表内の参考の部分には外部サイトのページのリンクをハイパーリンクで掲載しています。
※ 表に掲載されている日付は現地時間です。
(3) 参考情報
本情報の公開時点までに、JPCERT/CCがこれらの脆弱性について発行した注意喚起は次の通りです。
JPCERT/CC
Ivanti Connect SecureおよびIvanti Policy Secureの脆弱性（CVE-2023-46805およびCVE-2024-21887）に関する注意喚起
https://www.jpcert.or.jp/at/2024/at240002.html
CyberNewsFlashは、注意喚起とは異なり、発行時点では注意喚起の基準に満たない脆弱性の情報やセキュリティアップデート予告なども含まれます。今回の件を含め、提供いただける情報がありましたら、JPCERT/CCまでご連絡ください。
改訂履歴
2024-02-16 初版
2024-02-21 表内の掲載方法を修正
2024-04-09 2024年4月2日に公表された脆弱性に関する情報を追記
一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）
早期警戒グループ
Email：ew-info@jpcert.or.jp
