Endpoint Managerに認証不要のRCE脆弱性、修正版あり
Ivanti Endpoint Managerの2024 SU8より前の版に、認証なしでリモートからコードを実行される脆弱性が公表されました。該当版を使う組織は2024 SU8以降へ更新し、Coreサーバーへ届く経路も確認してください。
急ぎ度: 至急
CVSS v3は9.8で認証なしにネットワーク越しでコードを実行でき、修正版の2024 SU8が出ているため、公表直後の今のうちに更新する価値があります。
関係があるか
Ivanti Endpoint Managerを使い、端末の管理やソフトウェア配布を行っている組織が対象です。Coreに該当する構成要素を含む、2024 SU8より前の版が影響を受けます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Ivanti Endpoint Manager | 2024 SU8より前の版（Coreに脆弱性） | 2024 SU8 |
確かめ方
- 1Endpoint Managerのコンソールで、運用中のCoreサーバーの版とSUの適用状況を確認し、2024 SU8より前かどうかを見る。
- 22024以外の系統を使っている場合は、Ivanti公式のセキュリティ告知で、その系統が影響を受けるかを確認する。
- 3Coreサーバーに、インターネットや管理用ではないネットワークから届く経路がないかを、ファイアウォールの設定で確認する。
何が起きたか
Ivanti Endpoint ManagerのCoreに、SQLインジェクションの脆弱性が見つかりました。認証を受けていない攻撃者が、リモートから任意のコードを実行できる可能性があります。
CVE-2026-121653として2026年11月10日に公表され、CVSS v3は9.8、深刻度は重大です。CWEはCWE-89に分類されています。
SQLインジェクションは、外部から受け取った入力が、データベースへの命令の一部として解釈されてしまう種類の脆弱性です。今回は、その結果がデータの読み出しにとどまらず、コードの実行にまで至ると説明されています。
CVEの記録では、2024 SU8が影響を受けない版として示されています。
攻撃の流れ
-
1
Coreへ到達
攻撃者がネットワーク経由でEndpoint ManagerのCoreサーバーに接続できる状態にある。
-
2
不正な入力
認証を受けないまま、Coreに細工した入力が送られる。
-
3
SQLが実行
入力がデータベースへの命令として扱われてしまう。
-
4
コード実行
最終的にCoreサーバー上で、攻撃者が選んだコードが動く。
どう悪用されるか
悪用に認証は要りません。ネットワーク越しに攻撃でき、攻撃の条件も複雑ではなく、利用者がファイルを開くなどの操作も要りません。つまり、Coreサーバーに通信が届く位置にいれば攻撃が成立する余地があります。
悪用されると、Coreサーバー上でコードが実行されます。CVSSの評価では、機密性・完全性・可用性のいずれも高い影響とされています。サーバー内の情報の読み出しや書き換え、サービスの停止まで想定しておくのが妥当です。
今すぐやること
-
1
運用中の版を確認する
Coreサーバーの版と、適用済みのSUを確認します。2024 SU8より前なら対象です。複数の環境（本番と検証など）がある場合は、すべてを洗い出します。
-
2
2024 SU8以降へ更新する
修正版の2024 SU8以降へ更新します。更新前に、Coreサーバーとデータベースのバックアップを取っておくと、不具合時に戻せます。
-
3
Ivanti公式の告知を確認する
Ivantiの「Security Advisory Ivanti Endpoint Manager (EPM) November 2026」で、影響する系統、回避策、実際の悪用が確認されているかを確かめます。
-
4
Coreへの到達経路を絞る
インターネットや、管理用ではないネットワークからCoreサーバーに届いていないかを点検します。届いている場合は、更新と並行して管理用のネットワークに限定します。
-
5
更新後に不審な痕跡を調べる
公表前に攻撃を受けていた場合に備え、Coreサーバーのログ、見覚えのないプロセスやアカウント、予定外の配布タスクがないかを確認します。
すぐ更新できないとき
回避策の有無は、Ivantiの告知で確認してください。すぐに更新できない間のつなぎとしては、Coreサーバーへの通信を管理用ネットワークの必要な接続元だけに限定すると、攻撃を受ける範囲を狭められます。ただし、これで脆弱性そのものがなくなるわけではないため、更新までの一時的な措置です。
背景
Ivanti Endpoint Managerは、社内のパソコンやサーバーの台帳管理、ソフトウェア配布、パッチ適用をまとめて行う製品です。Coreは、その管理情報を預かる中心のサーバーにあたります。ここでコードを実行されると、その先にある多数の管理対象端末にまで影響が及ぶおそれがあるため、1台のサーバーの問題で済まない可能性があります。
SQLインジェクションは、入力の扱いに起因する古くからある種類の脆弱性です。今回の件は、それが認証なしで、しかもコード実行にまでつながると説明されている点に特徴があります。
よくある質問
Q.Coreサーバーをインターネットに公開していなければ、急がなくてもよいですか。
Q.2024より前の系統を使っています。対象ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
SQL injection in the Core of Ivanti Endpoint Manager before version 2024 SU8 allows a remote unauthenticated attacker to achieve remote code execution.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hub.ivanti.com
- web nvd.nist.gov
- web github.com