エンタープライズソフトウェア企業のIvantiは火曜日、Endpoint Manager(EPM)およびNeurons for MDMに存在する4件の脆弱性に対するパッチを発表しました。
今回のEPMアップデートでは、3件の深刻度「高」の不具合が修正されており、そのうち2件はリモートかつ未認証の攻撃者による悪用が可能でした。
CVE-2026-18129として追跡されている1件目は、機密情報の平文送信に関する問題で、中間者(MitM)攻撃を行う攻撃者によって外部SQL接続用の認証情報が漏えいする恐れがあると説明されています。
2件目のCVE-2026-18125は、EPMエージェントに存在する境界外読み取りの欠陥で、悪用されるとエージェントサービスをクラッシュさせる可能性があります。
これら2件のセキュリティ上の欠陥はEPMバージョン2024 SU7で解消されており、同バージョンでは深刻度「高」の入力検証の脆弱性であるCVE-2026-18127も修正されています。この脆弱性が悪用されると、リモートの攻撃者がファイル名を操作できるようになります。
認証済みの脅威アクターがこの脆弱性を悪用すれば、セッション録画の保存用に設定されたS3バケットに対する書き込み権限を完全に掌握できる可能性があります。
「これらの脆弱性の開示時点において、悪用被害を受けた顧客がいるとの情報は確認していません」とIvantiは述べています。
Ivanti Neurons for MDMについては、リモートから悪用され機密情報が漏えいする恐れのある、深刻度「中」のコマンドインジェクション脆弱性1件に対する修正が提供されました。
この脆弱性は6月下旬、クラウドベースのSaaSプラットフォームのバージョンR124で修正済みであり、顧客側での対応は不要です。
Ivantiによれば、この問題は「CVE番号を予約する基準を満たしていなかった」とのことで、実環境で悪用された形跡もないとしています。
Ivantiは、これらの脆弱性の影響を受ける製品は他にないとしています。詳細については、同社が発表した2026年8月のセキュリティアップデートに関する告知を参照してください。
翻訳元: https://www.securityweek.com/ivanti-epm-update-patches-remotely-exploitable-flaws/
