CVE-2024-50330: Ivanti Endpoint Manager (EPM) における SQL インジェクションによる RCE

概要

CVE-2024-50330 は、Ivanti Endpoint Manager (EPM) における重大な事前認証 SQL インジェクションの脆弱性であり、リモートの未認証攻撃者がターゲットサーバー上でリモートコード実行を達成することを可能にします。この脆弱性は 2024 年 11 月のセキュリティアップデートで開示され、修正されました。

技術的詳細

• CVE: CVE-2024-50330
• CWE: CWE-89 (SQL インジェクション)
• CVSS: 緊急 (CVSS 3.x スコア ~9.8)
• 攻撃ベクトル: ネットワーク
• 認証: 不要
• 影響: リモートコード実行

この欠陥は、Ivanti EPM Web インターフェース内の認証不要のエンドポイントに存在します。攻撃者は、脆弱なパラメータに対して細工された HTTP リクエストを介して悪意のある SQL クエリを注入することで、Microsoft SQL Server データベースに対するバックエンド SQL クエリを操作できます。これを利用して xp_cmdshell を有効にし、任意の OS コマンドを実行できます。

影響を受けるバージョン

2024 年 11 月のセキュリティアップデートより前のすべての Ivanti Endpoint Manager のバージョン。

再現

前提条件

• Ivanti EPM の脆弱なバージョンを実行しているターゲット
• EPM Web インターフェースへのネットワークアクセス
• requests ライブラリを備えた Python 3.x

PoC

提供される exploit.py は以下を示しています:

1. データベース情報を抽出するための UNION ベースの SQL インジェクション
2. SQL インジェクションによる xp_cmdshell の有効化
3. 任意のシステムコマンドの実行
4. フォールバック手法としての時間ベースのブラインドインジェクション

緩和策

• Ivanti の 2024 年 11 月セキュリティアップデートを直ちに適用する
• EPM 管理インターフェースへのネットワークアクセスを制限する
• 異常な SQL クエリとコマンド実行を監視する
• SQLi パターンを検出するための Web Application Firewall (WAF) ルールを実装する

参照

• Ivanti セキュリティアドバイザリ
• CVE-2024-50330
• CWE-89: SQL インジェクション