Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Ivanti EPM Cloud Services Application opravuje 3 kritické zraniteľnosti
Ivanti Cloud Service Application (CSA) pre Endpoint Manager (EPM) vo verziách 5.0.3 opravuje 3 kritické zraniteľnosti [1].
Neautentizovanému vzdialenému útočníkovi je z dôvodu nedostatočnej kontroly pri autentizácii v administrátorskej webovej konzole umožnené získať prístup s administrátorskými oprávneniami [1].
Zraniteľnosť sa nachádza v produkte:
- Ivanti Cloud Services Application; >=5, <5.0.3;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2024-11639 na cve.org, NVD
- CWE-288: Authentication Bypass Using an Alternate Path or Channel na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 12. 2024.
Autentizovanému vzdialenému útočníkovi s administrátorskými právami je v administrátorskej webovej konzole umožnené spustiť kód [1].
Zraniteľnosť sa nachádza v produkte:
- Ivanti Cloud Services Application; >=5, <5.0.3;
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2024-11772 na cve.org, NVD
- CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 12. 2024.
Autentizovanému vzdialenému útočníkovi s administrátorskými právami je v administrátorskej webovej konzole umožnené spúšťať ľubovoľné SQL dotazy [1].
Zraniteľnosť sa nachádza v produkte:
- Ivanti Cloud Services Application; >=5, <5.0.3;
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2024-11773 na cve.org, NVD
- CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 12. 2024.
Za CESNET, z.s.p.o. Michaela Ručková dňa 11. 12. 2024.