Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Ivanti Endpoint Manager, Application Control a Avalanche opravujú niekoľko zraniteľností

Ivanti opravuje niekoľko kritických a vysoko závažných zraniteľností v produktoch Ivanti Endpoint Manager (EPM), Application Control a Avalanche. Najzávažnejšie sú opísané nižšie, zvyšné nájdete na [1][2][3]. Produkty a ich opravy: Ivanti Endpoint Manager - 2024 January-2025 Security Update, 2022 SU6 January-2025 Security Update [1] Ivanti Application Control - 2024.3 HF1, 2024.1 HF2, 2023.3 HF3 [2] Ivanti Avalanche - 6.4.7 [3]

Ivanti EPM - únik citlivých informácií (CVE-2024-10811, CVE-2024-13161, CVE-2024-13160, CVE-2024-13159)
CVSS 9.8 (Critical)

Neautentizovanému vzdialenému útočníkovi je v produkte Ivanti EPM umožnené získať citlivé informácie [1].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Endpoint Manager; <=2024 November security update; <=2022 SU6 November security update

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 13. 1. 2025.

Ivanti EPM - vzdialené spustenie kódu (CVE-2024-13172, CVE-2024-13171, CVE-2024-13163)
CVSS 7.8 (High)

Neautentizovanému vzdialenému útočníkovi je v produkte Ivanti EPM, kvôli nesprávnemu overeniu podpisu, umožnené vykonať vzdialené spustenie kódu. Je nutná interakcia s miestnym používateľom [1].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Endpoint Manager; <=2024 November security update; <=2022 SU6 November security update

CVSS: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 13. 1. 2025.

Ivanti EPM - eskalácia oprávnení (CVE-2024-13169)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi je v produkte Ivanti EPM umožnené zvýšiť si oprávnenia [1].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Endpoint Manager; <=2024 November security update; <=2022 SU6 November security update

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 13. 1. 2025.

Ivanti Application Control - obídenie nakonfigurovanej ochrany (CVE-2024-10630)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi je v produkte Ivanti Application Control, kvôli chybe race condition, umožnené obísť funkcie blokovania aplikácií [2].

Zraniteľnosť sa nachádza v produktoch:

  • Ivanti Application Control; <=2024.3; <=2024.1; <=2023.3
  • Ivanti Security Controls; <=2024.4.1

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 14. 1. 2025.

Ivanti Avalanche - únik citlivých informácií (CVE-2024-13180)
CVSS 7.5 (High)

Neautentizovanému vzdialenému útočníkovi je v produkte Ivanti Avalanche umožnené získať citlivé informácie [3].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Avalanche; <=6.4.6

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Viac informácií:

  • CVE-2024-13180 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 9. 1. 2025.

Ivanti Avalanche - obídenie autentifikácie (CVE-2024-13181, CVE-2024-13179)
CVSS 7.3 (High)

Neautentizovanému vzdialenému útočníkovi je v produkte Ivanti Avalanche umožnené obísť autentifikáciu [3].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Avalanche; <=6.4.6

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Viac informácií:

  • CVE-2024-13181 na cve.org, NVD
  • CVE-2024-13179 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org
  • CWE-288: Authentication Bypass Using an Alternate Path or Channel na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 9. 1. 2025.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 21. 1. 2025.

CESNET, z.s.p.o. Logo