Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Ivanti Connect Secure a Policy Secure opravujú 5 zraniteľností
Ivanti vo svojich produktoch opravuje 5 zraniteľností, z toho 2 kritické. Produkty a ich opravy: Ivanti Connect Secure (ICS) - 22.7R2.4 Ivanti Policy Secure (IPS) - 22.7R1.2
Autentizovanému vzdialenému útočníkovi s administrátorskými právami je v ICS a IPS umožnené spustiť kód [1].
Zraniteľnosť sa nachádza v produktoch:
- Ivanti Connect Secure; >=22.1R1, <22.7R2.3;
- Ivanti Policy Secure; >=22.1R1, <22.7R1.2;
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2024-11634 na cve.org, NVD
- CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 12. 2024.
Autentizovanému vzdialenému útočníkovi s administrátorskými právami je v ICS umožnené spustiť kód [1].
Zraniteľnosť sa nachádza v produkte:
- Ivanti Connect Secure; >=22.1R1, <22.7R2.4;
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2024-11633 na cve.org, NVD
- CWE-88: Improper Neutralization of Argument Delimiters in a Command ('Argument Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 12. 2024.
Neautentizovanému vzdialenému útočníkovi je v ICS cez čítanie mimo hraníc alokovanej pamäte v rámci implementácie IPsec umožnené vykonať DoS útok [1].
Zraniteľnosť sa nachádza v produkte:
- Ivanti Connect Secure; >=22.1R1, <22.7R2.1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2024-37401 na cve.org, NVD
- CWE-125: Out-of-bounds Read na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 12. 2024.
Autentizovanému vzdialenému útočníkovi je kvôli nedostatočnej kontrole v Secure Application Manager v ICS umožnené obísť bezpečnostné obmedzenia a neoprávnene pristupovať k informáciám [1].
Zraniteľnosť sa nachádza v produkte:
- Ivanti Connect Secure; >=22.1R1, <22.7R2.4;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N
Viac informácií:
- CVE-2024-9844 na cve.org, NVD
- CWE-602: Client-Side Enforcement of Server-Side Security na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 12. 2024.
Neautentizovanému vzdialenému útočníkovi je v ICS cez pretečenie bufferu na halde v rámci implementácie IPsec umožnené vykonať DoS útok [1].
Zraniteľnosť sa nachádza v produkte:
- Ivanti Connect Secure; >=22.1R1, <22.7R2.3;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2024-37377 na cve.org, NVD
- CWE-122: Heap-based Buffer Overflow na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 10. 12. 2024.
Za CESNET, z.s.p.o. Michaela Ručková dňa 11. 12. 2024.