[TLP:CLEAR] Ivanti CSA opravuje kritickou zranitelnost

Ivanti opravuje kritickou zranitelnost v produktu Cloud Services Appliance (CSA). Opravy byly vydány ve verzích CSA 5.0 (doporučeno) a CSA 4.6 Patch 519 [1]. Zranitelnost byla přidána na seznam známých aktivně zneužívaných zranitelností od CISA [2].

Ivanti Cloud Services Appliance - restricted functionality access (CVE-2024-8963)
CVSS 9.4 (Critical)

Neautentizovanému vzdálenému útočníkovi je umožněn přístup k omezeným funkcím. Pokud je CVE-2024-8963 [1] použito ve spojení s CVE-2024-8190 [3], může útočník obejít ověření správce a spustit na zařízení libovolné příkazy [1].

Zranitelnost se nachází v produktu:

  • Ivanti Cloud Services Appliance; =4.6

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L

Více informací:

  • CVE-2024-8963 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 19. 9. 2024.

Za CESNET, z.s.p.o. Michaela Jarošová dne 1. 10. 2024.

CESNET, z.s.p.o. Logo