[TLP:CLEAR] Ivanti Endpoint Manager, Application Control a Avalanche opravují několik zranitelností
Ivanti opravuje několik kritických a vysoce závažných zranitelností v produktech Ivanti Endpoint Manager (EPM), Application Control a Avalanche. Nejzávažnější jsou popsány níže, zbylé naleznete na [1][2][3]. Produkty a jejich opravy: Ivanti Endpoint Manager - 2024 January-2025 Security Update, 2022 SU6 January-2025 Security Update [1] Ivanti Application Control - 2024.3 HF1, 2024.1 HF2, 2023.3 HF3 [2] Ivanti Avalanche - 6.4.7 [3]
Neautentizovanému vzdálenému útočníkovi je v produktu Ivanti EPM umožněno získat citlivé informace [1].
Zranitelnost se nachází v produktu:
- Ivanti Endpoint Manager; <=2024 November security update; <=2022 SU6 November security update
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-10811 na cve.org, NVD
- CVE-2024-13161 na cve.org, NVD
- CVE-2024-13160 na cve.org, NVD
- CVE-2024-13159 na cve.org, NVD
- CWE-36: Absolute Path Traversal na cwe.mitre.org
Zranitelnost byla veřejně oznámena 13. 1. 2025.
Neautentizovanému vzdálenému útočníkovi je v produktu Ivanti EPM, kvůli nesprávnému ověření podpisu, umožněno vykonat vzdálené spuštění kódu. Je nutná interakce s místním uživatelem [1].
Zranitelnost se nachází v produktu:
- Ivanti Endpoint Manager; <=2024 November security update; <=2022 SU6 November security update
CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-13172 na cve.org, NVD
- CVE-2024-13171 na cve.org, NVD
- CVE-2024-13163 na cve.org, NVD
- CWE-347: Improper Verification of Cryptographic Signature na cwe.mitre.org
Zranitelnost byla veřejně oznámena 13. 1. 2025.
Autentizovanému lokálnímu útočníkovi je v produktu Ivanti EPM umožněno zvýšit svá oprávnění [1].
Zranitelnost se nachází v produktu:
- Ivanti Endpoint Manager; <=2024 November security update; <=2022 SU6 November security update
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-13169 na cve.org, NVD
- CWE-843: Access of Resource Using Incompatible Type ('Type Confusion') na cwe.mitre.org
- CWE-125: Out-of-bounds Read na cwe.mitre.org
Zranitelnost byla veřejně oznámena 13. 1. 2025.
Autentizovanému lokálnímu útočníkovi je v produktu Ivanti Application Control, kvůli chybě race condition, umožněno obejít funkce blokování aplikací [2].
Zranitelnost se nachází v produktech:
- Ivanti Application Control; <=2024.3; <=2024.1; <=2023.3
- Ivanti Security Controls; <=2024.4.1
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-10630 na cve.org, NVD
- CWE-366: Race Condition within a Thread na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 1. 2025.
Neautentizovanému vzdálenému útočníkovi je v produktu Ivanti Avalanche umožněno získat citlivé informace [3].
Zranitelnost se nachází v produktu:
- Ivanti Avalanche; <=6.4.6
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Více informací:
- CVE-2024-13180 na cve.org, NVD
- CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 9. 1. 2025.
Neautentizovanému vzdálenému útočníkovi je v produktu Ivanti Avalanche umožněno obejít ověřování [3].
Zranitelnost se nachází v produktu:
- Ivanti Avalanche; <=6.4.6
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
Více informací:
- CVE-2024-13181 na cve.org, NVD
- CVE-2024-13179 na cve.org, NVD
- CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org
- CWE-288: Authentication Bypass Using an Alternate Path or Channel na cwe.mitre.org
Zranitelnost byla veřejně oznámena 9. 1. 2025.
Odkazy
- [1] https://forums.ivanti.com/s/article/Security-Advisory-EPM-January-2025-for-EPM-2024-and-EPM-2022-SU6
- [2] https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Application-Control-Engine-CVE-2024-10630
- [3] https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Avalanche-6-4-7-Multiple-CVEs
Za CESNET, z.s.p.o. Michaela Jarošová dne 21. 1. 2025.