Bezpečnostné zraniteľnosti v produktoch Ivanti
Spoločnosť Ivanti vydala bezpečnostné aktualizácie, ktoré opravujú 16 bezpečnostných zraniteľností v produktoch Avalanche, Neurons for ITSM, Neurons for ITAM, Connect Secure, Policy Secure, Secure Access a Endpoint Manager. Najzávažnejšie sú kritické zraniteľnosti v produkte Endpoint Manager, ktoré možno zneužiť na vykonanie škodlivého kódu.
Zraniteľné systémy:
- Ivanti Avalanche vo verzii staršej ako 6.4.3.602
- Ivanti Neurons for ITSM (cloud aj premise) všetky verzie bez aktualizácie Hotfix 2
- Ivanti Neurons for ITAM (cloud aj premise) všetky verzie bez aktualizácie Hotfix 2
- Ivanti Connect Secure vo verziách starších ako 9.1R18.6, 22.7R2 a 22.5R2.4
- Ivanti Policy Secure vo verzii staršej ako 22.7R1
- Ivanti Secure Access vo verzii staršej ako 22.7R1
- Ivanti Endpoint Manager vo verziách 2022 SU5 a starších
Opis činnosti:
Spoločnosť Ivanti vydala bezpečnostné aktualizácie na svoje portfólio produktov, ktoré opravujú 16 bezpečnostných zraniteľností, z toho 6 kritických a 10 vysoko závažných. Kritické zraniteľnosti v produkte Endpoint Manager (CVE-2024-29822, CVE-2024-29823, CVE-2024-29824, CVE-2024-29825, CVE-2024-29826, CVE-2024-29827) by neautentifikovaný útočník nachádzajúci sa v rovnakej sieti mohol zneužiť na vykonanie škodlivého kódu. Ostatné zraniteľnosti možno zneužiť na eskaláciu privilégií, vykonanie kódu, zneprístupnenie služby a vykonanie neoprávnených zmien v systéme.
Ivanti Endpoint Manager
CVE-2024-29822, CVE-2024-29823, CVE-2024-29824, CVE-2024-29825, CVE-2024-29826, CVE-2024-29827 (CVSS skóre 9,6)
Kritické bezpečnostné zraniteľnosti v komponente Core server umožňujú vykonanie SQL injekcie. Neautentifikovaný útočník nachádzajúci sa v rovnakej sieti by ich mohol zneužiť na vykonanie škodlivého kódu.
CVE-2024-29828, CVE-2024-29829, CVE-2024-29830, CVE-2024-29846 (CVSS skóre 8,4)
Bližšie nešpecifikované zraniteľnosti v komponente Core server by autentifikovaný útočník s oprávneniami administrátora prostredníctvom SQL injekcie mohol zneužiť na vykonanie škodlivého kódu. Zneužitie zraniteľností vyžaduje, aby sa útočník nachádzal v rovnakej sieti ako zraniteľná inštalácia produktu.
Ivanti Neurons for ITSM, Ivanti Neurons for ITAM
CVE-2024-22059 (CVSS skóre 8,8)
Zraniteľnosť sa nachádza vo webovom komponente produktu a vzdialený autentifikovaný útočník by ju prostredníctvom SQL injekcie mohol zneužiť na čítanie a modifikáciu obsahu databázy a následné zneprístupnenie služby.
CVE-2024-22060 (CVSS skóre 8,7)
CVE-2024-22060 vo webovom komponente umožňuje vzdialenému autentifikovanému útočníkovi s vysokými oprávneniami upload ľubovoľných súborov do priečinkov servera ITSM, v ktorých sú ukladané citlivé údaje.
Pozn.: Spoločnosť Ivanti automaticky aktualizovala cloudové inštalácie Neurons for ITSM a Neurons for ITAM. Manuálna inštalácia aktualizácií je nutná len na lokálnych (on premise) inštaláciách produktu.
Ivanti Connect Secure, Ivanti Policy Secure
CVE-2023-38551 (CVSS skóre 8,2)
Zraniteľnosť s označením CVE-2023-38551 spočíva v nedostatočnom overovaní používateľských vstupov a vzdialený autentifikovaný používateľ s vysokými oprávneniami by ju prostredníctvom CRLF injekcie mohol zneužiť na realizáciu XSS (Cross Site Scripting) útokov.
Ivanti Secure Access
CVE-2023-38042 (CVSS skóre 7,8), CVE-2023-46810 (CVSS skóre 7,3)
Zraniteľnosti v klientskych aplikáciách Ivanti Secure Access pre Windows a Linux umožňujú eskaláciu privilégií lokálneho autentifikovaného útočníka a následné vykonanie kódu s oprávneniami úrovne SYSTEM.
Ivanti Avalanche
CVE-2024-29848 (CVSS skóre 7,2)
CVE-2024-29848 nachádzajúca sa v komponente FileStoreConfig umožňuje autentifikovanému útočníkovi upload ľubovoľných súborov a následné vykonanie škodlivého kódu s oprávneniami SYSTEM.
Závažnosť zraniteľnosti: Kritická
Možné škody:
- Vykonanie kódu
- Zneprístupnenie služby
- Eskalácia privilégií
- Neoprávnená zmena v systéme
Odporúčania:
Výrobca odporúča používať len verzie s platnou technickou podporou a zasiahnuté systémy bezodkladne aktualizovať na najnovšie verzie:
- Ivanti Avalanche na verziu 6.4.3.602
- Ivanti Neurons for ITSM (lokálne inštalácie) na verzie 2023.1 Hotfix 2, 2023.2 Hotfix 2, 2023.3 Hotfix 2 alebo 2023.4 Hotfix 2
- Ivanti Neurons for ITAM (lokálne inštalácie) na verzie 2023.1 Hotfix 2, 2023.2 Hotfix 2, 2023.3 Hotfix 2 alebo 2023.4 Hotfix 2
- Ivanti Connect Secure na verzie 9.1R18.6, 22.7R2 alebo 22.5R2.4
- Ivanti Policy Secure na verziu 22.7R1
- Ivanti Secure Access na verziu 22.7R1 a vyššie
- Ivanti Endpoint Manager na verziu 2022 SU5 so Security Hot patch z mája 2024
Zdroje:
https://forums.ivanti.com/s/article/Security-Advisory-May-2024
https://forums.ivanti.com/s/article/Avalanche-6-4-3-602-additional-security-hardening-and-CVE-fixed
https://forums.ivanti.com/s/article/KB-CVE-2024-22059-and-CVE-2024-22060-for-Ivanti-Neurons-for-ITSM
https://forums.ivanti.com/s/article/KB-Security-Advisory-Ivanti-Secure-Access-Client-May-2024
https://forums.ivanti.com/s/article/KB-Security-Advisory-EPM-May-2024