Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Ivanti opravuje 8 zraniteľností
Ivanti vo svojich produktoch opravuje 8 zraniteľností, z toho 3 kritické. Najzávažnejšie z nich sú popísané nižšie, zvyšné nájdete na [1]. Produkty a ich opravy: Ivanti Connect Secure (ICS) - 22.7R2.6 Ivanti Policy Secure (IPS) - 22.7R1.3 Ivanti Secure Access Client (ISAC) - 22.8R1
Autentizovanému vzdialenému útočníkovi je kvôli pretečeniu bufferu na zásobníku v ICS umožnené spustiť kód [1].
Zraniteľnosť sa nachádza v produkte:
- *:Ivanti Connect Secure;<22.7R2.6
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2025-22467 na cve.org, NVD
- CWE-121: Stack-based Buffer Overflow na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 11. 2. 2025.
Autentizovanému vzdialenému útočníkovi s administrátorskými právami je v ICS a IPS umožnené spustiť kód [1].
Zraniteľnosť sa nachádza v produktoch:
- *:Ivanti Connect Secure;<22.7R2.4
- *:Ivanti Policy Secure;<22.7R1.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2024-10644 na cve.org, NVD
- CWE-94: Improper Control of Generation of Code ('Code Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 11. 2. 2025.
Autentizovanému vzdialenému útočníkovi s administrátorskými právami je v ICS a IPS umožnené zapisovať ľubovoľné súbory [1].
Zraniteľnosť sa nachádza v produktoch:
- *:Ivanti Connect Secure;<22.7R2.4
- *:Ivanti Policy Secure;<22.7R1.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2024-38657 na cve.org, NVD
- CWE-73: External Control of File Name or Path na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 11. 2. 2025.
Autentizovanému lokálnemu útočníkovi je v ISAC umožnené mazať ľubovoľné súbory [1].
Zraniteľnosť sa nachádza v produkte:
- *:Ivanti Secure Access Client;<22.8R1
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
Viac informácií:
- CVE-2024-13813 na cve.org, NVD
- CWE-732: Incorrect Permission Assignment for Critical Resource na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 11. 2. 2025.
Autentizovanému vzdialenému útočníkovi s administrátorskými právami je v ICS a IPS umožnené čítať ľubovoľné súbory [1].
Zraniteľnosť sa nachádza v produktoch:
- *:Ivanti Connect Secure;<22.7R2.6
- *:Ivanti Policy Secure;<22.7R1.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N
Viac informácií:
- CVE-2024-12058 na cve.org, NVD
- CWE-73: External Control of File Name or Path na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 11. 2. 2025.
Za CESNET, z.s.p.o. Michaela Ručková dňa 19. 2. 2025.