JVNVU#92420039
Ivanti製Connect SecureおよびPolicy Secureにおける複数の脆弱性
緊急

Ivantiが提供するIvanti Connect SecureおよびIvanti Policy Secureには、複数の脆弱性が存在します。

以下の製品のバージョン9系および22系のすべてのサポートバージョンが本脆弱性の影響を受けます。

• Ivanti Connect Secure (ICS)（旧名称 Pulse Connect Secure）
• Ivanti Policy Secure

Ivantiが提供するIvanti Connect SecureおよびIvanti Policy Secureには、次の複数の脆弱性が存在します。

• 不適切な認証 (CWE-287) - CVE-2023-46805
• コマンドインジェクション (CWE-77) - CVE-2024-21887

２つの脆弱性を組み合わせて悪用された場合、遠隔の第三者によって、認証不要で当該システム上で任意のコマンドを実行される可能性があります。

ワークアラウンドを実施する
開発者は、ワークアラウンドの適用を推奨しています。

開発者によると、本脆弱性に対するパッチは、2024年1月22日の週より2月12日の週にかけて段階的に提供されるとのことです。

詳細は、開発者が提供する情報をご確認ください。