Ivanti выпустила обновления для системы безопасности, устраняющие четыре ошибки безопасности, влияющие на шлюзы Connect Secure и Policy Secure, которые могут привести к выполнению кода и отказу в обслуживании (DoS).
Список недостатков выглядит следующим образом -
В конце прошлого месяца Ivanti отправила исправления для устранения критических недостатков в своем автономном продукте Sentry (CVE-2023-41724, оценка CVSS: 9.6), которые могут позволить субъекту угрозы, не прошедшему проверку подлинности, выполнять произвольные команды в базовой операционной системе.
Он также устранил еще один критический недостаток, влияющий на локальные версии Neurons для ITSM (CVE-2023-46808, оценка CVSS: 9,9), которым мог злоупотребить прошедший проверку подлинности удаленный злоумышленник, чтобы выполнить произвольную запись в файл и добиться выполнения кода.
В открытом письме, опубликованном 3 апреля 2023 года, генеральный директор Ivanti Джефф Эбботт сказал, что компания "внимательно изучает" свою собственную позицию и процессы, чтобы соответствовать требованиям текущего ландшафта угроз.
Компания Abbott также заявила, что "события последних месяцев были ошеломляющими", и что она выполняет план, который существенно меняет ее операционную модель безопасности, внедряя принципы обеспечения безопасности по проекту, делясь информацией с клиентами с полной прозрачностью и перестраивая свои инженерные разработки, методы обеспечения безопасности и управления уязвимостями.
"Мы расширяем наши возможности внутреннего сканирования, ручного использования и тестирования, привлекаем доверенные третьи стороны для расширения наших внутренних исследований и способствуем ответственному раскрытию уязвимостей с помощью расширенных стимулов в рамках расширенной программы вознаграждения за ошибки", - сказал Эбботт.
Список недостатков выглядит следующим образом -
- CVE-2024-21894 (оценка CVSS: 8.2) - Уязвимость переполнения кучи в компоненте IPSec Ivanti Connect Secure (9.x, 22.x) и Ivanti Policy Secure позволяет злоумышленнику, не прошедшему проверку подлинности, отправлять специально созданные запросы для сбоя службы, вызывая тем самым DoS-атаку. При определенных условиях это может привести к выполнению произвольного кода.
- CVE-2024-22052 (оценка CVSS: 7.5) - Уязвимость разыменования нулевого указателя в компоненте IPSec Ivanti Connect Secure (9.x, 22.x) и Ivanti Policy Secure позволяет злоумышленнику, не прошедшему проверку подлинности, отправлять специально созданные запросы для сбоя службы, вызывая тем самым DoS-атаку.
- CVE-2024-22053 (оценка CVSS: 8.2) - Уязвимость переполнения кучи в компоненте IPSec Ivanti Connect Secure (9.x, 22.x) и Ivanti Policy Secure позволяет злоумышленнику, не прошедшему проверку подлинности, отправлять специально созданные запросы для сбоя службы, вызывая тем самым DoS-атаку или, при определенных условиях, считывая содержимое из памяти.
- CVE-2024-22023 (оценка CVSS: 5.3) - Уязвимость расширения сущности XML или XEE в компоненте SAML Ivanti Connect Secure (9.x, 22.x) и Ivanti Policy Secure позволяет злоумышленнику, не прошедшему проверку подлинности, отправлять специально созданные XML-запросы, чтобы временно вызвать исчерпание ресурсов, что приводит к ограниченному по времени DoS.
В конце прошлого месяца Ivanti отправила исправления для устранения критических недостатков в своем автономном продукте Sentry (CVE-2023-41724, оценка CVSS: 9.6), которые могут позволить субъекту угрозы, не прошедшему проверку подлинности, выполнять произвольные команды в базовой операционной системе.
Он также устранил еще один критический недостаток, влияющий на локальные версии Neurons для ITSM (CVE-2023-46808, оценка CVSS: 9,9), которым мог злоупотребить прошедший проверку подлинности удаленный злоумышленник, чтобы выполнить произвольную запись в файл и добиться выполнения кода.
В открытом письме, опубликованном 3 апреля 2023 года, генеральный директор Ivanti Джефф Эбботт сказал, что компания "внимательно изучает" свою собственную позицию и процессы, чтобы соответствовать требованиям текущего ландшафта угроз.
Компания Abbott также заявила, что "события последних месяцев были ошеломляющими", и что она выполняет план, который существенно меняет ее операционную модель безопасности, внедряя принципы обеспечения безопасности по проекту, делясь информацией с клиентами с полной прозрачностью и перестраивая свои инженерные разработки, методы обеспечения безопасности и управления уязвимостями.
"Мы расширяем наши возможности внутреннего сканирования, ручного использования и тестирования, привлекаем доверенные третьи стороны для расширения наших внутренних исследований и способствуем ответственному раскрытию уязвимостей с помощью расширенных стимулов в рамках расширенной программы вознаграждения за ошибки", - сказал Эбботт.
