【最新ビルドで修正済み】Endpoint Centralの脆弱性(CVE-2024-38868, CVE-2024-38869)について
作成日：2024年9月17日 | 更新日：2024年9月17日
【既知の不具合】Endpoint Centralの脆弱性(CVE-2024-38868)について
【対象ビルド】
Endpoint Central 11.3.2400.12 以前のビルド
※ ご利用中のバージョン・ビルド番号の確認方法はこちらをご覧ください。
※ JVNやCVEをはじめとする脆弱性情報に記載されている「Endpoint Central 11.3.2406.05 以前のビルド」はグローバル向けリリースであり、日本国内向けのリリースには該当いたしません。
【問題】
上記対象ビルドのEndpoint Centralにおいて、ベータ版の「ランサムウェア対策機能」に次の不具合が含まれています。
・認証されていないユーザーへの、コンピューター基本情報の意図しない露出の可能性
・Technicianの製品ユーザーによる管理範囲外デバイスの隔離/除去の問題
- https://jvndb.jvn.jp/ja/contents/2024/JVNDB-2024-007197.html（JVN）
- https://www.cve.org/CVERecord?id=CVE-2024-38868（CVE）
- https://www.manageengine.com/products/desktop-central/security-updates-ngav.html（ManageEngine）
【影響】
この脆弱性は、「ランサムウェア対策機能」を有効化していない場合、影響はございません。また、日本国内向けにリリースされている Endpoint Central 11.3.2400.33 において本問題は修正済みです。
- 認証されていないユーザーに対し、コンピューターの基本的な情報が参照可能であった可能性があります。
- 管理範囲を限定されているTechnicianの役割をもつ製品ユーザーが、管理範囲外のデバイスを隔離/除去できてしまう問題があります。
【修正ビルド】
Endpoint Central 11.3.2400.15
※ 日本国内向けにリリースされているEndpoint Central 11.3.2400.33 において本問題は修正済みです。
【対処方法】
日本国内向けにリリースされているビルドへアップグレードします。
【既知の不具合】Endpoint Centralの脆弱性(CVE-2024-38869)について
【対象ビルド】
Endpoint Central 11.3.2400.22 以前のビルド
※ ご利用中のバージョン・ビルド番号の確認方法はこちらをご覧ください。
※ JVNやCVEをはじめとする脆弱性情報に記載されている「Endpoint Central 11.3.2416.03 以前のビルド」はグローバル向けリリースであり、日本国内向けのリリースには該当いたしません。
【問題】
上記対象ビルドのEndpoint Centralにおいて、APIスコープパラメーターに設定ミスがあり、Technicianの製品ユーザーへのリモートオフィスに対して構成が配布可能であった問題が含まれます。
- 未記載（JVN）
- https://nvd.nist.gov/vuln/detail/CVE-2024-38869（NIST）
- https://www.manageengine.com/products/desktop-central/security-updates-config-access.html（ManageEngine）
【影響】
この脆弱性は、日本国内向けにリリースされている Endpoint Central 11.3.2400.33 において本問題は修正済みです。
管理範囲を限定されているTechnicianの役割をもつ製品ユーザーがいる場合、管理範囲外のリモートオフィスに所属するデバイスへ構成を配布できてしまう問題があります。
【修正ビルド】
Endpoint Central 11.3.2400.25
※ Endpoint Central 11.3.2400.33 において本問題は修正済みです。
【対処方法】
日本国内向けにリリースされているビルドへアップグレードします。