お客様各位
拝啓、貴社ますますご清祥のこととお慶び申し上げます。
平素は格別のご高配を賜り、厚くお礼申し上げます。
Ivanti Pulse Secure(旧PulseSecure）製品に影響のある複数の脆弱性が確認されました。
設定に関わらずリリースされている全てのバージョン (バージョン 9.x および 22.x)のPSA/ISAが対象になります。
この脆弱性はIvanti社による製品セキュリティ強化活動の一貫として、コードの内部レビューとテストによって発見され、
現時点で悪用されたという情報はございません。
■ 対象脆弱性
- CVE-2024-21894（ヒープオーバーフローの脆弱性、CVSS 8.2）：
PSA/ISA(9.x、22.x) のIPSecコンポーネントにヒープ オーバーフローの脆弱性があるため、
認証されていない悪意のあるユーザーが特別に細工したリクエストを送信してサービスをクラッシュさせるDoS攻撃を引き起こす可能性があります。
また、特定状況下では任意のコードが実行される可能性があります。
- CVE-2024-22052（NULL ポインター参照の脆弱性、CVSS 7.5）
PSA/ISA(9.x、22.x)のIPSecコンポーネントにNullポインター デリファレンスの脆弱性があるため、
認証されていない悪意のあるユーザーが特別に細工したリクエストを送信してサービスをクラッシュさせるDoS攻撃を引き起こす可能性があります。
- CVE-2024-22053（ヒープオーバーフローの脆弱性、CVSS 8.2）
PSA/ISA (9.x、22.x) のIPSecコンポーネントにヒープ オーバーフローの脆弱性があるため、
認証されていない悪意のあるユーザーが特別に細工したリクエストを送信してサービスをクラッシュさせるDoS攻撃を引き起こす可能性があるか、
あるいは特定の条件下においてメモリからコンテンツを読み取られる可能性があります。
- CVE-2024-22023（XMLエンティティ拡張またはXEEの脆弱性、CVSS 5.3）
PSA/ISA (9.x、22.x)のSAMLコンポーネントにXMLエンティティ拡張（XEE）の脆弱性があるため、
認証されていない攻撃者が特別に細工されたXMLリクエストを送信して一時的にリソース疲弊を引き起こし、一時的なDoS状態に繋げることができる可能性があります。
■影響バージョン
設定に関わらず全てのバージョン (バージョン 9.x および 22.x)のPSA/ISA が対象になります。
■対策バージョン
9.1R14.6
9.1R15.4
9.1R16.4
9.1R17.4
9.1R18.5
22.1R6.2
22.2R4.2
22.3R1.2
22.4R1.2
22.4R2.4
22.5R1.3
22.5R2.4
22.6R2.3
■暫定対策
暫定対策はございません。修正OSにアップグレードを実施してください。
■ XMLファイルおよび恒久対策バージョンの入手および適用方法
弊社営業・エンジニアまたは、たよれーるコンタクトセンターへご相談ください。
■ メーカページ
https://forums.ivanti.com/s/article/New-CVE-2024-21894-Heap-Overflow-CVE-2024-22052-Null-Pointer-Dereference-CVE-2024-22053-Heap-Overflow-and-CVE-2024-22023-XML-entity-expansion-or-XXE-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
なお脆弱性の詳細については攻撃手法を推測できる可能性がありユーザ様への影響を考慮して
基本的に先述の情報以外は公開されておりません。
弊社においても脆弱性に関する詳細な情報は保持しておりません。
サポート窓口に脆弱性の詳細をお問い合わせいただいた場合でも、原則として回答をお断りしております。
大変恐れりいますが、何卒ご理解ご協力いただけますようお願い申し上げます。
以上、宜しくお願いいたします。
