
2026/06/12 4:38
Ivanti Sentry 事前認証型 RCE(CVE-2026-10520)– CVSS 10.0、公開されたPoCあり、CISA KEVリスト掲載
RSS: https://news.ycombinator.com/rss
要約▶
Japanese 翻訳:
Ivanti Sentry システムは、CISA の Known Exploited Vulnerabilities (KEV) カタログに記載されている、現在野生環境で実際に悪用されている二つの重大な欠陥、CVE-2026-10520 および CVE-2026-10523 に起因する緊急性の高いサイバーセキュリティ危機に直面しています。これらの脆弱性は、攻撃者に 2026 年 6 月 14 日までの厳密な 3 日間の是正期間を与えるものです。最も深刻な問題は、認証前の
/mics/api/v2/sentry/mics-config/handleMessage エンドポイントにおいて Java の reflection を介した OS コマンド注入であり、CVSS スコア 10.0 を獲得して root 権限付きのリモートコード実行を可能にします。第二の問題は、CVSS スコア 9.9 であり、無効な認証情報であっても任意の管理アカウントを作成することを可能にする認証バイパス機能です。
Microsoft Exchange の暗号化されたモバイルトラフィックと ActiveSync メールフローを管理するインラインゲートウェイとしての Ivanti Sentry は、メールサーバーやより広範な企業ネットワークといった内部システムへピボットするための主要な標的となります。影響を受けるバージョンには、特定のパッチレベル(R10.5.2, R10.6.2, および R10.7.1)以前のパターンが含まれる R10.5.x, R10.6.x, および R10.7.x です。即時のリスクを軽減するためには、組織はこれらの修復済みリリースへのアップグレードを実施するか、ポート 8443 を信頼できるネットワークに制限し、脆弱な API パスへの外部アクセスを遮断するなど、厳格なネットワークアクセス制御を導入する必要があります。対応しない場合、敵対者は深い管理制御を行使することができ、その結果、整个インフラストラクチャ内での lateral movement およびデータ漏洩を可能にすることとなります。Public Proof of Concept (PoC) コードは watchTowr Labs から入手可能であり、これは攻撃者による即時の悪用の手段となっています。
本文
アイバンティ・センチュリー:緊急脆弱性警報(CVE-2026-10520, CVE-2026-10523)
状況概要
- 対象システム: アイバンティ・センチュリー(旧名:MobileIron Sentry)
- 発見日: 2026 年 6 月 11 日
- 深刻度: 重大(CVSS スコア 10.0 / 9.9)
- 悪用状況: ⚠️ 実環境で既に活発に攻撃されています。
- CISA KEV ロス列入表: および(Yes)
- 是正期限: 2026 年 6 月 14 日(3 日後)
脆弱性の詳細
CVE-2026-10520(認証不要 OS コマンド注入)
- CWE: CWE-78(OS コマンド注入)
- 影響エンドポイント:
/mics/api/v2/sentry/mics-config/handleMessage - 攻撃手法:
- 認証情報が不要な POST リクエストを悪用。
- ユーザーの入力を Java のリフレクション機構経由で直接 OS コマンドに渡す。
- Spring Boot の REST コントローラーが XML フォーマットコマンドをパースし、処理ハンドラに実行命令として渡す。
- 被害内容:
- 即座のフル機能 RCE(リモートコード実行) が可能。
- システム管理者権限付きのコード実行が可能。
- レスポンスヘッダーにコマンドの実行結果が含まれるため、即座に確認可能。
CVE-2026-10523(認証バイパスによる権限昇格)
- CWE: 認証脆弱性
- 影響:
- 非認証攻撃者が任意の管理者アカウントを作成可能。
- フルな管理者アクセス権限を獲得可能。
- 対応: 両方の CVE は同一の影響・修正済みバージョンを共有しています。
影響範囲と是正情報
| バージョン区分 | 影響対象 (脆弱) | 修正済み (安全) |
|---|---|---|
| R10.5.x | R10.5.2 以前 | R10.5.2 以上 |
| R10.6.x | R10.6.2 以前 | R10.6.2 以上 |
| R10.7.x | R10.7.1 以前 | R10.7.1 以上 |
- 是正方法: 上記いずれかの修正済みバージョンへアップグレードしてください。
調査プロセス:脆弱インスタンスの特定
アイバンティ・センチュリーデバイスは、通常 DMZ(非軍事区)に展開されているため、以下の手順で検出可能です。
1. ポートスキャン
センチュリーはデフォルトでポート 8443 で HTTPS をリスニングします。
- 対象ポート:
: センチュリー HTTPS(プライマリ—MICS ウェブアプリ)8443
: リバースプロキシ経由での利用443
: センチュリー管理コンソール(一部展開向け)9090
2. TLS 証明書検証
ポート 8443 の証明書を取得し、以下の名詞を確認:
- キーワード:
,Ivanti
,MobileIronSentry - 特徴:
- 旧社名(MobileIron)による命名。
- 標準外ポートでの自己署名証明書。
3. HTTP ヘッダーとフィンガープリント
Tomcat サーバー上の
/mics コンテキストをプローブ:
- ログインページ:
のレスポンス確認。/mics/login.jsp - ステータスコードの差異:
- ✅ 脆弱: 200 OK(直接処理)
- ❌ 正常: 302 Redirect(ログイン画面へリダイレクト)
- 識別子: Tomcat や Spring Boot のヘッダー、ブランドロゴの表示確認。
4. DNS レコード確認
以下のような命名パターンを持つホストを検索:
sentry-*, gateway-*, mobilegateway-*, mobile-security-*, mobileiron-*, ivanti-*, epmm-*, mdm-*
5. CVE ルックアップ
- NVD: 米国国家脆弱性情報データベースでエントリを確認。
- CISA KEV: 是正期限(6 月 14 日)に従うことが政府機関および重要組織に義務付けられています。
外部データとの照合ガイド
以下のツール利用で、インターネットへの曝露を確認してください。
- SHODAN:
- クエリ:
または"MobileIron" port:8443"Ivanti" port:8443 - 目的:公開されている脆弱インスタンスの特定。
- クエリ:
- CVE LOOKUP (NVD):
- CVE-2026-10520, CVE-2026-10523 の最新評価情報を参照。
- CISA KEV Catalog:
- 既知の悪用脆弱性情報リスト(KEDR)に掲載済み。
是正手順と緩和策
【重要】是正優先事項
- 即座にアップグレード: 最新バージョンへ更新してください。
- 推奨バージョン:
、R10.5.2
、またはR10.6.2
。R10.7.1
パッチ適用までの緊急性の高い緩和策(対策)
| 対策項目 | 具体的なアクション |
|---|---|
| ネットワーク制御 | ファイアウォール設定を変更し、ポート 8443 へのアクセスを信頼できる管理ネットワークからのみ許可。外部からの全アクセスを遮断してください。 |
| パス制限 | 外部から パスへのアクセスをすべて無効化してください。 |
| プロトコル強制 | 可能であれば mTLS(相互 TLS) を使用してください。 ※ アイバンティの推奨策により、EPMM や Neurons for MDM と組み合わせることで外部からの直接アクセスを防げます。 |
侵害後の確認事項
はくっ適用前に以下のチェックを実施:
- POST リクエストの確認:
への不正なリクエストを検出。/mics/api/v2/sentry/mics-config/handleMessage - RCE 兆候: 新しいユーザーアカウント、変更された設定ファイル、予期しないプロセスの監視。
- 不正管理者アカウント: CVE-2026-10523 のため、パッチ適用前に不正な管理者アカウントが作成されていないか確認してください。
- 横断移動 (Lateral Movement): センチュリー侵害から EPMM、Exchange、Active Directory へ攻勢が進んでいないかログで監査。