Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Ivanti opravuje 49 zraniteľností

Ivanti vo svojich produktoch opravuje 49 zraniteľností. Nižšie nájdete najzávažnejšie z nich, ďalšie je možné nájsť na [1][2][3]. Produkty a ich opravené verzie: Ivanti Avalanche - 6.4.6 Ivanti Endpoint Manager (EPM) - 2024 November Security Update, 2022 SU6 November Security Update Ivanti Connect Secure (ICS) - 22.7R2.3 Ivanti Policy Secure (IPS) - 22.7R1.2

Ivanti Avalanche - odmietnutie služby (CVE-2024-50317, CVE-2024-50318)
CVSS 7.5 (High)

Neautentizovanému vzdialenému útočníkovi je z dôvodu dereferencie nulového ukazovateľa v Ivanti Avalanche umožnené vykonať útok DoS [1].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Avalanche; >=6, <6.4.6;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 12. 11. 2024.

Ivanti Avalanche - odmietnutie služby (CVE-2024-50319, CVE-2024-50320, CVE-2024-50321)
CVSS 7.5 (High)

Neautentizovanému vzdialenému útočníkovi je z dôvodu nekonečnej slučky v Ivanti Avalanche umožnené vykonať útok DoS [1].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Avalanche; >=6, <6.4.6;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 12. 11. 2024.

Ivanti Avalanche - únik citlivých informácií (CVE-2024-50331)
CVSS 7.5 (High)

Neautentizovanému vzdialenému útočníkovi je skrz čítanie mimo rozsahu buffera v Ivanti Avalanche umožnené neoprávnene získať potenciálne citlivé informácie [1].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Avalanche; >=6, <6.4.6;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 12. 11. 2024.

Ivanti Endpoint Manager - RCE (CVE-2024-50330)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je v Ivanti EPM umožnené spustiť kód [2].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Endpoint Manager;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-50330 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 11. 2024.

Ivanti Endpoint Manager - RCE (CVE-2024-50329)
CVSS 8.8 (High)

Neautentizovanému vzdialenému útočníkovi je v Ivanti EPM s využitím metód sociálneho inžinierstva umožnené spustiť kód [2].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Endpoint Manager;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-50329 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 11. 2024.

Ivanti Endpoint Manager - RCE (CVE-2024-34787, CVE-2024-50322)
CVSS 7.8 (High)

Neautentizovanému lokálnemu útočníkovi je v Ivanti EPM s využitím metód sociálneho inžinierstva umožnené spustiť kód [2].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Endpoint Manager;

CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 12. 11. 2024.

Ivanti Endpoint Manager - RCE (CVE-2024-50323)
CVSS 7.8 (High)

Neautentizovanému lokálnemu útočníkovi je v Ivanti EPM s využitím metód sociálneho inžinierstva umožnené spustiť kód [2].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Endpoint Manager;

CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-50323 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 11. 2024.

Ivanti Endpoint Manager - RCE (CVE-2024-32839, CVE-2024-32841, CVE-2024-32844, CVE-2024-32847, CVE-2024-34780, CVE-2024-37376, CVE-2024-34781, CVE-2024-34782, CVE-2024-34784, CVE-2024-50326, CVE-2024-50327, CVE-2024-50328)
CVSS 7.2 (High)

Autentizovanému vzdialenému útočníkovi s administrátorskými právami je v Ivanti EPM umožnené spustiť kód [2].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Endpoint Manager;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 12. 11. 2024.

Ivanti Connect Secure a Policy Secure - RCE (CVE-2024-38655, CVE-2024-38656, CVE-2024-39710, CVE-2024-39711, CVE-2024-39712)
CVSS 9.1 (Critical)

Autentizovanému vzdialenému útočníkovi s administrátorskými právami je v ICS a IPS umožnené spustiť kód [3].

Zraniteľnosť sa nachádza v produktoch:

  • Ivanti Connect Secure; >=22.1R1, <22.7R2.3; >=9.1R1, <9.1R18.9;
  • Ivanti Policy Secure; >=22.1R1, <22.7R1.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 12. 11. 2024.

Ivanti Connect Secure a Policy Secure - RCE (CVE-2024-11005, CVE-2024-11006, CVE-2024-11007)
CVSS 9.1 (Critical)

Autentizovanému vzdialenému útočníkovi s administrátorskými právami je v ICS a IPS umožnené spustiť kód [3].

Zraniteľnosť sa nachádza v produktoch:

  • Ivanti Connect Secure; >=22.1R1, <22.7R2.1;
  • Ivanti Policy Secure; >=22.1R1, <22.7R1.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 12. 11. 2024.

Za CESNET, z.s.p.o. Michaela Ručková dňa 28. 11. 2024.

CESNET, z.s.p.o. Logo