Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] Ivanti Connect Secure and Policy Secure opravují 4 zranitelnosti

Ivanti opravuje 4 zranitelnosti v produktech Ivanti Connect Secure a Policy Secure. Opravené verze pro Ivanti Connect Secure jsou 22.1R6.2, 22.2R4.2, 22.3R1.2, 22.4R1.2, 22.4R2.4, 22.5R1.3, 22.5R2.4, 22.6R2.3, 9.1R14.6, 9.1R15.4, 9.1R16.4, 9.1R17.4, 9.1R18.5 a pro Policy Secure jsou to verze 22.4R1.2, 22.5R1.3, 22.6R1.2, 9.1R16.4, 9.1R17.4, 9.1R18.5 [1].

Ivanti Connect Secure and Policy Secure - přetečení haldy (CVE-2024-21894)
CVSS 8.2 (High)

Neautentizovanému vzdálenému útočníkovi je umožněno posílat speciálně vytvořené požadavky a způsobit tak DoS útok a za určitých okolností neoprávněně spouštět kód [1].

Zranitelnost se nachází v produktech:

  • Ivanti Connect Secure; >= 2.1R6.0,< 2.1R6.2; >=22.2R4.0, <22.2R4.2; >=22.3R1.0, <22.3R1.2; >= 22.4R.0, <22.4R1.2; >=22.4.R.2.0, <22.4R2.4; >=22.5R1.0, <22.5R1.3; >=22.5R2.0, <22.5R2.4; >=22.6R2.0, <22.6R2.3; >=9.1R14.0, <9.1R14.6; >=9.1R15.0, <9.1R15.4; >=9.1R16.0, <9.1R16.4; >=9.1R17.0, <9.1R17.4; >=9.1R18.0, <9.1R18.5
  • Ivanti Policy Secure; >=22.4R1.0, <22.4R1.2; >=22.5R1.0, <22.5R1.3; >=22.6R1.0, <22.6R1.2; >=9.1R16.0, <9.1R16.4; >=9.1R17.0, <9.1R17.4; >=9.1R18.0, <9.1R18.5

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H

Více informací:

Zranitelnost byla veřejně oznámena 2. 4. 2024.

Ivanti Connect Secure and Policy Secure - dereference nulového ukazatele (CVE-2024-22052)
CVSS 7.5 (High)

Neautentizovanému vzdálenému útočníkovi je umožněno posílat speciálně vytvořené požadavky a způsobit tak DoS útok [1].

Zranitelnost se nachází v produktech:

  • Ivanti Connect Secure; >= 2.1R6.0,< 2.1R6.2; >=22.2R4.0, <22.2R4.2; >=22.3R1.0, <22.3R1.2; >= 22.4R.0, <22.4R1.2; >=22.4.R.2.0, <22.4R2.4; >=22.5R1.0, <22.5R1.3; >=22.5R2.0, <22.5R2.4; >=22.6R2.0, <22.6R2.3; >=9.1R14.0, <9.1R14.6; >=9.1R15.0, <9.1R15.4; >=9.1R16.0, <9.1R16.4; >=9.1R17.0, <9.1R17.4; >=9.1R18.0, <9.1R18.5
  • Ivanti Policy Secure; >=22.4R1.0, <22.4R1.2; >=22.5R1.0, <22.5R1.3; >=22.6R1.0, <22.6R1.2; >=9.1R16.0, <9.1R16.4; >=9.1R17.0, <9.1R17.4; >=9.1R18.0, <9.1R18.5

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Více informací:

Zranitelnost byla veřejně oznámena 2. 4. 2024.

Ivanti Connect Secure and Policy Secure - přetečení haldy (CVE-2024-22053)
CVSS 8.2 (High)

Neautentizovanému vzdálenému útočníkovi je umožněno posílat speciálně vytvořené požadavky a způsobit tak DoS útok a za určitých okolností neoprávněně číst data z paměti [1].

Zranitelnost se nachází v produktech:

  • Ivanti Connect Secure; >= 2.1R6.0,< 2.1R6.2; >=22.2R4.0, <22.2R4.2; >=22.3R1.0, <22.3R1.2; >= 22.4R.0, <22.4R1.2; >=22.4.R.2.0, <22.4R2.4; >=22.5R1.0, <22.5R1.3; >=22.5R2.0, <22.5R2.4; >=22.6R2.0, <22.6R2.3; >=9.1R14.0, <9.1R14.6; >=9.1R15.0, <9.1R15.4; >=9.1R16.0, <9.1R16.4; >=9.1R17.0, <9.1R17.4; >=9.1R18.0, <9.1R18.5
  • Ivanti Policy Secure; >=22.4R1.0, <22.4R1.2; >=22.5R1.0, <22.5R1.3; >=22.6R1.0, <22.6R1.2; >=9.1R16.0, <9.1R16.4; >=9.1R17.0, <9.1R17.4; >=9.1R18.0, <9.1R18.5

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H

Více informací:

Zranitelnost byla veřejně oznámena 2. 4. 2024.

Ivanti Connect Secure and Policy Secure - XXE (CVE-2024-22023)
CVSS 5.3 (Medium)

Neautentizovanému vzdálenému útočníkovi je umožněno posílat požadavky se speciálně vytvořeným XML souborem a způsobit tak DoS útok [2].

Zranitelnost se nachází v produktech:

  • Ivanti Connect Secure; >= 2.1R6.0,< 2.1R6.2; >=22.2R4.0, <22.2R4.2; >=22.3R1.0, <22.3R1.2; >= 22.4R.0, <22.4R1.2; >=22.4.R.2.0, <22.4R2.4; >=22.5R1.0, <22.5R1.3; >=22.5R2.0, <22.5R2.4; >=22.6R2.0, <22.6R2.3; >=9.1R14.0, <9.1R14.6; >=9.1R15.0, <9.1R15.4; >=9.1R16.0, <9.1R16.4; >=9.1R17.0, <9.1R17.4; >=9.1R18.0, <9.1R18.5
  • Ivanti Policy Secure; >=22.4R1.0, <22.4R1.2; >=22.5R1.0, <22.5R1.3; >=22.6R1.0, <22.6R1.2; >=9.1R16.0, <9.1R16.4; >=9.1R17.0, <9.1R17.4; >=9.1R18.0, <9.1R18.5

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Více informací:

Zranitelnost byla veřejně oznámena 2. 4. 2024.

Za CESNET, z.s.p.o. Martin Krajči dne 5. 4. 2024.

CESNET, z.s.p.o. Logo