セキュリティ企業Volexityは10月13日、企業向けVPN機器「Ivanti Connect Secure」に存在する3つのセキュリティホール(脆弱性)を、ある攻撃者が連鎖させて悪用していたと明らかにしました。3つとも、開発元が把握する前に攻撃に使われた「ゼロデイ」(修正パッチが存在しない状態で悪用される欠陥)です。
この3つを組み合わせると、攻撃者はログインなしで、機器上で最高権限である「root」としてコマンドを実行できるとされています。VPN機器は社外から社内ネットワークへ入る玄関口にあたるため、ここを乗っ取られると社内システム全体に侵入される恐れがあります。
Ivantiは3件のうち2件の修正を公開済みで、影響を受けるバージョンの利用者に「直ちに対応するように」と呼びかけています。残る1件の修正は、報じられた時点では提供されていません。
この製品を使っている組織の管理者は、まず自社が該当バージョンかを確認し、公開済みの修正を速やかに適用してください。修正が未提供の1件については、Ivantiの公式アドバイザリで案内される回避策や追加情報を継続的に確認することが重要です。個人利用者が直接影響を受けることは少ないものの、勤務先や取引先がこの製品を使っている場合は、情報漏えいの二次被害に注意が必要です。