[TLP:CLEAR] Ivanti opravuje 8 zranitelností
Ivanti ve svých produktech opravuje 8 zranitelností, z toho 3 kritické. Nejzávažnější z nich jsou popsány níže, zbývající naleznete na [1]. Produkty a jejich opravy: Ivanti Connect Secure (ICS) - 22.7R2.6 Ivanti Policy Secure (IPS) - 22.7R1.3 Ivanti Secure Access Client (ISAC) - 22.8R1
Autentizovanému vzdálenému útočníkovi je kvůli přetečení bufferu na zásobníku v ICS umožněno spustit kód [1].
Zranitelnost se nachází v produktu:
- *:Ivanti Connect Secure;<22.7R2.6
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2025-22467 na cve.org, NVD
- CWE-121: Stack-based Buffer Overflow na cwe.mitre.org
Zranitelnost byla veřejně oznámena 11. 2. 2025.
Autentizovanému vzdálenému útočníkovi s administrátorskými právy je v ICS a IPS umožněno spustit kód [1].
Zranitelnost se nachází v produktech:
- *:Ivanti Connect Secure;<22.7R2.4
- *:Ivanti Policy Secure;<22.7R1.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2024-10644 na cve.org, NVD
- CWE-94: Improper Control of Generation of Code ('Code Injection') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 11. 2. 2025.
Autentizovanému vzdálenému útočníkovi s administrátorskými právy je v ICS a IPS umožněno zapisovat libovolné soubory [1].
Zranitelnost se nachází v produktech:
- *:Ivanti Connect Secure;<22.7R2.4
- *:Ivanti Policy Secure;<22.7R1.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2024-38657 na cve.org, NVD
- CWE-73: External Control of File Name or Path na cwe.mitre.org
Zranitelnost byla veřejně oznámena 11. 2. 2025.
Autentizovanému lokálnímu útočníkovi je v ISAC umožněno mazat libovolné soubory [1].
Zranitelnost se nachází v produktu:
- *:Ivanti Secure Access Client;<22.8R1
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
Více informací:
- CVE-2024-13813 na cve.org, NVD
- CWE-732: Incorrect Permission Assignment for Critical Resource na cwe.mitre.org
Zranitelnost byla veřejně oznámena 11. 2. 2025.
Autentizovanému vzdálenému útočníkovi s administrátorskými právy je v ICS a IPS umožněno číst libovolné soubory [1].
Zranitelnost se nachází v produktech:
- *:Ivanti Connect Secure;<22.7R2.6
- *:Ivanti Policy Secure;<22.7R1.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N
Více informací:
- CVE-2024-12058 na cve.org, NVD
- CWE-73: External Control of File Name or Path na cwe.mitre.org
Zranitelnost byla veřejně oznámena 11. 2. 2025.
Za CESNET, z.s.p.o. Michaela Ručková dne 19. 2. 2025.