Ivanti CSAで証明書を無認証で追加・削除できる脆弱性
Ivanti Cloud Services Applicationに、認証なしで信頼済みの証明書エントリを追加・削除できる脆弱性が公表されました。運用中の組織は版を確認し、Ivantiの告知で修正版の有無を調べてください。
急ぎ度: 早めに
CVSS v3は9.4で、認証なしにネットワーク越しで突かれる条件ですが、修正版の有無と対象版の記載に食い違いがあり、まず版と告知の確認が先に立つためです。
関係があるか
Ivanti Cloud Services Applicationを運用している組織が対象です。EPM Coreが信頼する証明書の一覧を書き換えられる脆弱性なので、EPM Coreと連携させている環境では特に確認が要ります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Ivanti Cloud Services Application | 5.0.8。脆弱性の説明文では5.0.8が対象ですが、CVEの記録の版の一覧では5.0.8が影響なしとされており、記載が食い違っています。 | 公開直後のため、Ivantiのセキュリティアドバイザリで修正版の有無と対象版を確認してください。 |
確かめ方
- 1運用しているCloud Services Applicationの版を、管理者向けの画面や導入時の記録で確認し、5.0.8かどうかを調べます。
- 2Ivantiの「Security Advisory Ivanti CSA CVE-2026-121683」を開き、対象版と修正版の記載を自社の版と照らし合わせます。
- 3インターネットなど社外のネットワークから、Cloud Services Applicationに届く経路があるかを確認します。
何が起きたか
Ivanti Cloud Services Applicationに、ログインを求めるはずの処理が抜けている脆弱性が見つかりました。ネットワーク越しに届く相手が、EPM Coreが信頼する証明書の登録を、認証なしで追加したり削除したりできます。
分類はCWE-306（重要な機能に対する認証の欠如）で、CVSS v3は9.4、深刻度はcriticalです。ベクターを見ると、情報の漏えいへの影響は低く、改ざんと可用性への影響が高い評価です。
信頼する証明書の一覧は、通信相手が本物かどうかを判断するときの土台になります。ここを書き換えられると、本来は信頼されない相手が信頼される、あるいは正規の相手との接続が成り立たなくなる、といった事態につながりうると考えられます。
攻撃の流れ
-
1
到達できる
Cloud Services Applicationにネットワーク経由で届く位置に、相手がいます。
-
2
認証を通らず要求
ログインの確認が抜けているため、資格情報なしで証明書の操作を求められます。
-
3
信頼の一覧を改変
EPM Coreが信頼する証明書エントリが、追加または削除されます。
-
4
連携が崩れる
信頼関係が書き換わることで、不正な相手の受け入れや正規の接続の失敗につながりえます。
どう悪用されるか
悪用に認証は要りません。ネットワーク越しに届けば足り、攻撃の複雑さは低く、利用者に何かを操作させる必要もありません。CVSSのベクターも、ネットワークから、低い複雑さで、権限なし、利用者の操作なし、という評価です。
成功すると、EPM Coreが信頼する証明書エントリを自由に追加・削除されます。評価では、改ざんと可用性への影響が高く、情報漏えいへの影響は低いとされています。
今すぐやること
-
1
運用中の版を確認する
Cloud Services Applicationの版を洗い出し、5.0.8を使っていないかを調べます。複数拠点にある場合は、台帳に載っていない設置も探します。
-
2
Ivantiの告知で修正版を確認する
Ivanti Hubに載っているCVE-2026-121683のセキュリティアドバイザリで、対象版・修正版・回避策の記載を確認します。CVEの記録は5.0.8の扱いが説明文と食い違うため、告知の記載を基準に判断します。
-
3
修正版があれば更新する
告知に修正版が示されていれば、検証環境で動作を確かめたうえで、早めに本番へ適用します。
-
4
信頼済み証明書の一覧を点検する
EPM Coreの信頼済み証明書に、身に覚えのない追加や、あるはずの証明書の欠落がないかを調べます。あれば、いつ変わったかをログで追います。
修正版がないあいだのつなぎ
ベンダーが示した回避策は確認できていません。更新できるまでのつなぎとして、一般的な軽減策ですが、Cloud Services Applicationへの接続元をファイアウォールなどで、必要な管理端末や連携先だけに絞ります。インターネットに直接公開している場合は、公開をやめることを優先してください。
背景
EPM Coreは、IvantiのEndpoint Managerで端末管理の中心になるサーバーです。ソフトウェアの配布や設定の適用といった、社内の多数のパソコンに触れる機能の司令塔にあたります。Cloud Services Applicationは、この管理基盤と連携して使われる構成要素で、EPM Coreが信頼する証明書の一覧が、両者の通信の信頼を支えています。
今回の対象は、その一覧を直接書き換える操作です。端末への配布権限をもつ基盤の信頼関係に触れる脆弱性のため、1台の端末の問題より影響範囲が広がりやすいと筆者は見ています。ただ、実際にどこまで波及するかは、各社のEPM Coreとの連携の組み方で変わります。
よくある質問
Q.Cloud Services Applicationを使っていなければ、EPM Coreは影響を受けませんか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Missing authentication in Ivanti Cloud Services Application version 5.0.8 allows a remote unauthenticated attacker to add and delete arbitrary trusted EPM Core certificate entries.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web hub.ivanti.com
- web nvd.nist.gov
- web github.com