CVE詳細 - CVE-2024-9379-

CVE-2024-9379 の詳細

CVEの情報

説明:
SQL injection in the admin web console of Ivanti CSA before version 5.0.2 allows a remote authenticated attacker with admin privileges to run arbitrary SQL statements.

CVE更新日: 2024-10-08 17:15:56.727000

CVSSバージョン: 3.1

CVSSスコア: 6.5

KEVの情報

KEV更新日: 2024-10-09

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.437820000

EPSS更新日: 2026-10-18 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2024-9379について、以下の観点で解説します。

1. 脆弱性の概要

Ivanti Cloud Services Appliance (CSA) の管理者向けウェブコンソールにおけるSQLインジェクションの脆弱性です。この脆弱性は、Ivanti CSA バージョン5.0.2より前のバージョンに存在します。

1.1 影響

リモートの認証された攻撃者が管理者権限を持つことで、任意のSQLステートメントを実行できます。また、CVE-2024-8963と組み合わせることで、認証なしにリモートコード実行 (RCE) につながる可能性があります (CSA 4.6 patch 518以前のバージョン)。実際に、脅威アクターはこれらの脆弱性を連鎖させ、初期アクセス権の取得、リモートコード実行、認証情報の窃取、およびウェブシェル埋め込みに利用したことが確認されています。

1.2 深刻度

CVSSスコア: 6.5 (Medium)
CISA (Cybersecurity and Infrastructure Security Agency) の既知の悪用されている脆弱性 (Known Exploited Vulnerabilities) カタログに追加されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性はIvanti CSA製品に影響を与えます。 * 製品: Ivanti Cloud Services Appliance (CSA) * 影響を受けるバージョン: Ivanti CSA バージョン5.0.2より前のバージョン。 * 特に、CSAバージョン4.6.x (patch 518以前) で悪用が確認されています。 * CSAバージョン5.0.1以前も影響を受けますが、バージョン5.0での悪用は確認されていません。 * Ivanti CSA 4.6.xはすでにサポート終了 (End-of-Life, EOL) となっています。

2.2 影響を受ける設定

管理者向けウェブコンソールに脆弱性が存在します。
脆弱性の悪用には管理者権限を持つ認証された攻撃者が必要です。

3. 影響を受けた時の兆候

CSA上で変更された管理者ユーザーや新規に追加された管理者ユーザーがないかを確認する。
ブローカーログ (ローカルシステムに保存) に不審な変更試行や一貫性のないアクティビティがないか確認する。
CSAにEDR (Endpoint Detection and Response) ツールがインストールされている場合、そのアラートを確認する。
特定の悪用連鎖においては、脅威アクターがウェブシェルを作成し、他のサーバーへラテラルムーブメントを行った兆候が報告されています。

4. 推奨対策

4.1 本対策

Ivanti CSAをバージョン5.0.2以降にアップグレードしてください。
Ivanti CSA 4.6.xはサポート終了のため、サービスから削除するか、5.0.x以降のサポートされているソリューションにアップグレードすることを強く推奨します。
侵害が疑われる場合は、CSAをバージョン5.0.2で再構築することが推奨されます。

4.2 暫定回避策（緩和策）

CSAには多層防御のアプローチを採用し、EDRツールをインストールすることを強く推奨します。
ブローカーログやEDRアラートを定期的に確認し、不審な活動がないか監視してください。
CISAとFBIは、ネットワーク管理者がIvanti CSAの最新サポートバージョンにアップグレードすることを強く推奨しています。
検出方法や侵害指標 (IOCs) を用いて、ネットワーク上で悪意のある活動がないか脅威ハンティングを実施することが奨励されます。

その他に解説すべき観点

CVE-2024-9379は、Ivanti CSAで確認された3つのゼロデイ脆弱性 (CVE-2024-9379、CVE-2024-9380、CVE-2024-9381) の1つであり、これらは当時積極的に悪用されていました。
CVE-2024-9379とCVE-2024-9380は、以前開示された脆弱性であるCVE-2024-8963と組み合わせて、認証されていないリモートコード実行を達成するために悪用されました。
Ivanti CSA 4.6はすでにサポート終了 (EOL) であり、パッチやサードパーティライブラリの更新は提供されません。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る