Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Ivanti opravuje zraniteľnosti v EPM a CSA

Ivanti opravuje niekoľko zraniteľností v produkte Ivanti Endpoint Manager [1] a jednu zraniteľnosť (CVE-2024-8190) v produkte Ivanti Cloud Service Appliance [2]. Produkty a ich opravy: Ivanti Endpoint Manager - 2022 SU6, 2024 s bezpečnostnou záplatou (potrebné aplikovať záplatu z júla aj septembra), 2024 SU1 (bude vydaná) [1] Ivanti Cloud Services Appliance - CSA 5.0 (odporúčané), CSA 4.6 Patch 519 [2]

Ivanti Endpoint Manager - únik tajomstiev API (CVE-2024-37397)
CVSS 8.2 (High)

Neautentizovanému vzdialenému útočníkovi je prostredníctvom zraniteľnosti External XML Entity (XXE) umožnené spôsobiť únik tajomstiev API [1].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Ivanti Endpoint Manager - vzdialené spustenie kódu (CVE-2024-8191)
CVSS 7.8 (High)

Neautentizovanému lokálnemu útočníkovi je kvôli zraniteľnosti typu SQL injection v konzole pre správu umožnené vykonať vzdialené spustenie kódu [1].

CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-8191 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Ivanti Endpoint Manager - vzdialené spustenie kódu
CVSS 7.2 (High)

Autentizovanému vzdialenému útočníkovi s právami správcu je umožnené vykonať vzdialené spustenie kódu [1].

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Ivanti Endpoint Manager - podvrhnutie Network Isolation (CVE-2024-8320)
CVSS 5.3 (Medium)

Neautentizovanému vzdialenému útočníkovi je kvôli chýbajúcej autentizácii v "Network Isolation" umožnené podvrhnúť stav spravovaných zariadení [1].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Ivanti Endpoint Manager - izolácia spravovaných zariadení (CVE-2024-8321)
CVSS 5.8 (Medium)

Neautentizovanému vzdialenému útočníkovi je umožnené izolovať spravované zariadenia od siete [1].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:L

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Ivanti Endpoint Manager - prístup k obmedzeným funkciám (CVE-2024-8322)
CVSS 4.3 (Medium)

Autentizovanému vzdialenému útočníkovi je kvôli slabej autentizácii v "Patch Management" umožnené pristupovať k vyhradeným funkciám [1].

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Ivanti Endpoint Manager - vzdialené spustenie kódu (CVE-2024-29847)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je kvôli deserializácii nedôveryhodných dát na portáli agenta umožnené vykonať vzdialené spustenie kódu [1].

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Ivanti Endpoint Manager - eskalácia oprávnení (CVE-2024-8441)
CVSS 6.7 (Medium)

Autentizovanému lokálnemu útočníkovi s právami správcu je kvôli chýbajúcej kontrole cesty vyhľadávania umožnené zvýšiť svoje oprávnenia na úroveň SYSTEM [1].

CVSS: CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Ivanti Cloud Service Appliance - vzdialené spustenie kódu (CVE-2024-8190)
CVSS 7.2 (High)

Autentizovanému vzdialenému útočníkovi s právami správcu je kvôli zraniteľnosti typu OS command injection umožnené vykonať vzdialené spustenie kódu [2].

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-8190 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 10. 9. 2024.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 20. 9. 2024.

CESNET, z.s.p.o. Logo