概要
Ivanti Virtual Traffic Manager（vTM）において、認証アルゴリズムの実装不備により、リモートの未認証攻撃者が管理パネルの認証を完全にバイパスできる脆弱性です。
CVSS スコア 9.8（CRITICAL）であり、CISA KEV（既知の悪用された脆弱性カタログ）に登録済みです。実際の悪用が確認されているため、影響を受けるバージョンを使用している場合は即時のアップデートが推奨されます。
攻撃が成功した場合、管理者権限で vTM を操作され、トラフィック管理設定の変更やシステムの完全な制御が可能になります。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSS バージョン | 3.1 |
| ベクトル | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 攻撃経路（AV） | ネットワーク |
| 攻撃の複雑さ（AC） | 低 |
| 必要な権限（PR） | 不要 |
| ユーザーインタラクション（UI） | 不要 |
| 機密性への影響（C） | 高 |
| 完全性への影響（I） | 高 |
| 可用性への影響（A） | 高 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Virtual Traffic Manager (vTM) | Ivanti | 22.2R1 および 22.7R2 以外の全バージョン |
修正バージョンと回避策
修正バージョン:
- 22.2R1
- 22.7R2
上記いずれかのバージョンへのアップデートで修正されます。Ivanti のサポートページから最新のリリースを取得してください。
暫定対策: アップデートが即時困難な場合、管理パネルへのアクセスを信頼できるIPアドレスのみに制限することで攻撃対象領域を縮小できます。
関連リンク
データソース: NVD (NIST), CISA KEV AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。