Múltiples vulnerabilidades en productos de Ivanti
Fecha de publicación 13/11/2024
Identificador
INCIBE-2024-0557
Importancia
5 - Crítica
Recursos Afectados
- Ivanti Endpoint Manager (EPM):
- la actualización de seguridad de septiembre de 2024 y versiones anteriores;
- la actualización de seguridad de septiembre de 2022 SU6 y versiones anteriores.
- Ivanti Connect Secure (ICS), versiones 22.7R2.2 y anteriores.
- Ivanti Policy Secure (IPS), versiones 22.7R1.1 y anteriores.
- Ivanti Secure Access Client (ISAC), versiones 22.7R3 y anteriores.
Descripción
Ivanti ha publicado 49 vulnerabilidades, de entre ellas 9 críticas y el resto repartidas entre altas y medias, que afectan a Ivanti Connect Secure (ICS), Ivanti Policy Secure (IPS), Ivanti Secure Access Client (ISAC) e Ivanti Endpoint Manager (EPM). La explotación de estas vulnerabilidades podría derivar en una ejecución de código remoto RCE.
Solución
- Ivanti Endpoint Manager (EPM):
- actualización de seguridad de noviembre de 2024;
- actualización de seguridad de noviembre de 2022 SU6 .
- Ivanti Connect Secure (ICS), versión 22.7R2.3.
- Ivanti Policy Secure (IPS), versión 22.7R1.2.
- Ivanti Secure Access Client (ISAC), versión 22.7R4.
Detalle
- La vulnerabilidad CVE-2024-50330 podría permitir una inyección SQL afectando a Ivanti Endpoint Manager. Esto podría provocar que un atacante remoto, no autenticado, logre la ejecución remota de código.
- Las vulnerabilidades CVE-2024-38655, CVE-2024-38656, CVE-2024-39710, CVE-2024-39711 y CVE-2024-39712 podrían permitir una inyección de argumentos en Ivanti Connect Secure y Ivanti Policy Secure. Su explotación podría provocar que un atacante remoto autenticado con privilegios de administrador logre la ejecución remota de código.
- Las vulnerabilidades CVE-2024-11007, CVE-2024-11006 y CVE-2024-11005 podría permitir inyección de comandos en Ivanti Connect Secure. Esto podría provocar que un atacante remoto autenticado con privilegios de administrador logre la ejecución remota de código.
La información del resto de vulnerabilidades no críticas puede consultarse en las referencias.
Listado de referencias
