Ivanti VPNの追加欠陥に悪用確認、13日のパッチ適用済みでも再点検

VPNは社外の社員が社内の資源へ接続する通信経路を提供する仕組みです。Connect Secureは、その接続を受ける会社側の装置です。手元のPCと社内システムの間にあるため、装置を支配されると内部接続や認証情報へ近づく足場になり得ます。

セキュリティ調査会社Volexityは、調べた侵害で装置の設定・アカウント資料の収集、通信記録の分析、内部アカウントへのパスワード試行を観測したと報告しました。図は報告された危険の説明で、すべての導入企業で同じ被害が確認されたという意味ではありません。Volexityの調査

%% 接続装置の侵害による影響 · 調査された攻撃を簡略化
flowchart TD
  A["ネットに公開された脆弱なVPN"] --> B["攻撃者が装置で命令を実行"]
  B --> C["認証情報・設定を収集<br/>通信資料も調べる"]
  C --> D["社内への接続を試す<br/>資料を外へ持ち出す"]

認証は「誰かを確かめること」、権限は「その人ができることの範囲」です。調査された攻撃は、外から認証の境界を越え、ファイルを置いて実行する経路と装置内部の権限昇格をつなぎます。root は装置全体を扱える最上位の管理者権限です。

一つの項目に「認証が必要」とあっても、攻撃全体に盗んだパスワードが必須とは限りません。先の回避で次の足場を得られるためです。反対に、後の二つをそれぞれ単独の未認証遠隔実行の欠陥と呼ぶのも不正確です。開発元の条件

開発元の表では25.1.1.2と22.8R2.5は最初の欠陥の修正版ですが、29日に追加された二つには、それぞれ後の修正版が必要です。似た番号でも装置の系列と移行経路を合わせて見ます。

25.1.3.0は7月公開で、ISA4500・6500・8500など新プラットフォームの経路です。数字だけで全旧装置に入れる版ではありません。22.7以下には今回の欠陥がないという説明ですが、22.7と22.8は2027年1月31日にサポート終了を迎えます。詳細は開発元の互換性ガイドを照合する必要があります。

パッチは同じ欠陥を今後使われる経路を閉じます。コピーされたパスワードを消したり、流出した資料を取り戻したりはしません。CISAは通信とメモリの調査を求め、ディスク上の変更を見るIntegrity Checker Toolではメモリで実行された攻撃を見逃し得ると警告しています。

%% 対応1 · 今後の侵入経路を閉じる、下の調査とともに進める
flowchart TD
  A["製品とバージョンを確認<br/>外部へ公開していたか"] --> B["対応する修正版を適用"]

%% 対応2 · パッチとは別に過去の侵入を調査、CISA警告の点検の役割
flowchart TD
  A["過去の公開状態を調べる"] --> B["通信・メモリを調査<br/>盗まれた情報を調べる"]

侵害が疑われる場合、担当者は証拠保全とサービスへの影響を検討し、正式な復旧手順に従う必要があります。そこには初期化または仮想装置の再構築、更新、パスワード・証明書・鍵の交換が含まれます。調査前に個人PCを無条件で初期化する案内ではありません。KEVの11月2日・13日の期限は米国連邦機関の対応項目で、全利用者がそれまで待てる猶予ではありません。CISAの警告