はじめに
Ivantiは、Ivanti Endpoint Managerにおける3つの高 severity の脆弱性に対処するため、重要なセキュリティアップデートをリリースしました。これらの脆弱性が悪用されると、認証された攻撃者が影響を受けるシステム上の任意の場所にファイルを書き込むことが可能になります。同社は2025年11月10日にセキュリティアドバイザリを公開し、最新のパッチは直ちに利用可能となっています。
最も懸念される脆弱性：CVE-2025-10918
最も懸念される脆弱性はCVE-2025-10918で、Ivanti Endpoint Managerのエージェントコンポーネントにおける不適切なデフォルトパーミッションに起因します。この欠陥により、ローカルの認証された攻撃者はシステムディスク全体にわたって任意のファイルを書き込むことができ、システムの整合性を損ない、さらなる攻撃を可能にする可能性があります。CVE-2025-10918はCVSSスコア7.1と評価されており、高 severity の脅威に分類されます。
この脆弱性はCVSSベクトルCVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:Hを使用しており、悪用にはローカルアクセスと低い複雑性、低い特権要件が必要であることを示しています。この脆弱性はCWE-276（不適切なデフォルトファイルパーミッション）として追跡されています。
その他の脆弱性：CVE-2025-9713およびCVE-2025-11622
今回のセキュリティアドバイザリでは、CVE-2025-9713とCVE-2025-11622の2つの追加脆弱性も対処されました。これらは2025年10月に以前開示された問題であり、最新のパッチによって完全に解決されています。
影響を受けるバージョンと解決策
この脆弱性は、Ivanti Endpoint Managerバージョン2024 SU3 SR1およびそれ以前に影響を与えます。Ivantiは、特定されたすべての問題を解決するためにEndpoint Manager 2024 SU4をリリースしました。パッチは現在、Ivanti License System (ILS) ダウンロードポータルを通じて入手可能であり、ユーザー認証が必要です。
緊急の対応を
Ivantiは、開示時点ではこれらの脆弱性が積極的に悪用されているという情報は認識していないと確認しました。しかし、潜在的な攻撃リスクを軽減するため、組織はできるだけ早くパッチを適用することが強く推奨されます。
古い2022ブランチを実行している顧客は、Ivantiが2025年10月末にこのバージョンのサポートを終了したことに注意する必要があります。同社はEOL（End-of-Life）ブランチのパッチをリリースしないため、影響を受けるユーザーはこれらのセキュリティ問題を解決するためにバージョン2024 SU4にアップグレードする必要があります。この強制的なアップグレードは、ソフトウェアを最新の状態に保つことの重要性を強調しています。
Ivanti Endpoint Managerの脆弱なバージョンを実行している組織は、直ちに2024 SU4アップデートを展開することを優先すべきです。システム上に任意のファイルを書き込む能力は、マルウェアのインストール、特権昇格、および完全なシステム侵害につながる可能性があり、重大なセキュリティリスクをもたらします。
謝辞
Ivantiは、CVE-2025-10918を責任を持って開示し、顧客を保護するために同社と協力したセキュリティ研究者Enrique Fernández Lorenzo（別名bighound）氏に謝意を表しました。同社は、セキュリティコミュニティが適切なチャネルを通じて問題を報告することを奨励する脆弱性開示ポリシーを維持しています。
元記事: https://gbhackers.com/ivanti-endpoint-manager-vulnerabilities-3/