Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Ivanti opravuje 8 zranitelností v různých produktech

Ivanti opravuje 8 zranitelností v produktech Neurons for ITSM, Virtual Traffic Manager a Avalanche [1][2][3]. Zranitelnosti v Neurons for ITSM byly opraveny záplatou [1]. Produkty a jejich opravené verze: Ivanti Neurons for ITSM - 2023.4 w/ patch [4], 2023.3 w/ patch [5], 2023.2 w/ patch [6] Ivanti Virtual Traffic Manager - 22.2R1, 22.3R3, 22.3R3, 22.5R2, 22.6R2, 22.7R2 [2] Ivanti Avalanche - 6.4.4 [3]

Ivanti Neurons for ITSM - únik informací (CVE-2024-7569)
CVSS 9.6 (Critical)

Neautentizovanému vzdálenému útočníkovi je v Ivanti Neurons for ITSM umožněno získat OIDC tajemství pomocí nástroje pro ladění chyb [7].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 13. 8. 2024.

Ivanti Neurons for ITSM - vytvoření přístupového tokenu (CVE-2024-7570)
CVSS 8.3 (High)

Neautentizovanému vzdálenému útočníkovi je v Ivanti Neurons for ITSM umožněno vytvořit přístupový token do systému a vydávat se tak za libovolného uživatele [7].

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 13. 8. 2024.

Ivanti Virtual Traffic Manager - obejití autentizace (CVE-2024-7593)
CVSS 9.8 (Critical)

Neautentizovanému vzdálenému útočníkovi je v Ivanti Virtual Traffic Manager umožněno obejít autentizaci při přístupu do panelu administrátora [8].

Zranitelnost se nachází v produktu:

  • Ivanti Virtual Traffic Manager; >=22.2, <22.2R1; >=22.3, <22.3R3; >=22.3R2, <22.3R3; >=22.5R1, <22.5R2; >=22.6R1, <22.6R2; >=22.7R1, <22.7R2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 12. 8. 2024.

Ivanti Avalanche - DoS (CVE-2024-38652)
CVSS 8.2 (High)

Neautentizovanému vzdálenému útočníkovi je v Ivanti Avalanche umožněno provést DoS útok neoprávněným smazáním kritických souborů ze systému [9].

Zranitelnost se nachází v produktu:

  • Ivanti Avalanche; <6.44;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H

Více informací:

  • CVE-2024-38652 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 13. 8. 2024.

Ivanti Avalanche - XXE (CVE-2024-38653)
CVSS 8.2 (High)

Neautentizovanému vzdálenému útočníkovi je v Ivanti Avalanche umožněno provést XXE útok a přistupovat tak k libovolným souborům [9].

Zranitelnost se nachází v produktu:

  • Ivanti Avalanche; <6.44;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L

Více informací:

Zranitelnost byla veřejně oznámena 13. 8. 2024.

Ivanti Avalanche - DoS (CVE-2024-36136)
CVSS 7.5 (High)

Neautentizovanému vzdálenému útočníkovi je v Ivanti Avalanche umožněno provést DoS útok přetečením zásobníku [9].

Zranitelnost se nachází v produktu:

  • Ivanti Avalanche; <6.44;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Více informací:

Zranitelnost byla veřejně oznámena 13. 8. 2024.

Ivanti Avalanche - DoS (CVE-2024-37399)
CVSS 7.5 (High)

Neautentizovanému vzdálenému útočníkovi je v Ivanti Avalanche umožněno provést DoS útok dereferencí NULL ukazatele [10].

Zranitelnost se nachází v produktu:

  • Ivanti Avalanche; <6.44;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Více informací:

Zranitelnost byla veřejně oznámena 13. 8. 2024.

Ivanti Avalanche - RCE (CVE-2024-37373)
CVSS 7.2 (High)

Autentizovanému vzdálenému útočníkovi s právy administrátora je v Ivanti Avalanche umožněno neoprávněně spouštět kód [9].

Zranitelnost se nachází v produktu:

  • Ivanti Avalanche; <6.4.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

Zranitelnost byla veřejně oznámena 13. 8. 2024.

Za CESNET, z.s.p.o. Martin Krajči dne 16. 8. 2024.

CESNET, z.s.p.o. Logo