Source: https://www.securityweek.com/fortinet-ivanti-nvidia-release-security-updates/
🛡 概要
Fortinet、Ivanti、Nvidiaは、製品ポートフォリオ全体で13件以上の高および中程度の深刻度の脆弱性を解決するセキュリティ更新を発表しました。特にIvantiは、Endpoint Manager（EPM）における2件の高深刻度のファイル名検証不備を修正しました。これらはリモートから認証なしに任意のコードを実行する可能性がありますが、ユーザーの操作が必要です。また、Connect Secure、Policy Secure、ZTA Gateways、Neurons for Secure Accessに対する5件の高および6件の中程度の深刻度の脆弱性についてもパッチが発表されています。
🔍 技術詳細
Ivantiが発表した修正内容には、HTML5接続のハイジャックを引き起こす欠如した認可問題や、CSRFバグが含まれています。これらは、認証されていない状態で敏感なアクションを実行することを可能にします。さらに、認証関連の設定を攻撃者が構成できる欠如した認可の脆弱性も存在します。パッチは、EPMのバージョン2024 SU3 SR 1および2022 SU8 SR 2、Connect Secureのバージョン22.7R2.9および22.8R2、Policy Secureのバージョン22.7R1.5、ZTA Gatewaysのバージョン22.8R2.3-723、およびNeurons for Secure Accessのバージョン22.8R1.4に含まれています。Fortinetは、FortiDDoSに関する中程度の深刻度のOSコマンドインジェクションバグを修正し、FortiWebのパス横断脆弱性も解決しました。Nvidiaは、NVDebugツールの高および中程度の深刻度の欠陥に対して修正を行い、特権アカウントへのアクセスや、制限されたコンポーネントへのファイル書き込み、非特権ユーザーとしてのコード実行を可能にする脆弱性を解消しました。
⚠ 影響
これらの脆弱性が悪用されると、コード実行、特権昇格、サービス拒否（DoS）、情報漏洩、またはデータ改ざんが発生する可能性があります。特に、Ivantiが発表した脆弱性は、ユーザーの操作が必要であるものの、悪用されるリスクが高いと考えられます。FortinetやNvidiaは、これらの脆弱性が実際に悪用された証拠はないと述べていますが、ユーザーはアプリケーションをできるだけ早く更新することが推奨されています。これにより、潜在的な攻撃から自身を守ることができるでしょう。
🛠 対策
ユーザーは、Fortinet、Ivanti、Nvidiaの最新のセキュリティパッチを適用することが重要です。特に、IvantiのConnect SecureやEPMの最新バージョンを利用することで、脆弱性の悪用を防ぐことができます。また、FortinetのFortiDDoSやFortiWebを使用している場合も、最新の修正を適用することが必要です。NvidiaのNVDebugツールを利用している開発者は、バージョン1.7.0へのアップデートを行い、脆弱性を解消することが推奨されます。定期的なセキュリティチェックとソフトウェアの更新を行うことで、セキュリティリスクを低減することができます。
