Компания Ivanti выпустила обновления для системы безопасности, устраняющие критическую ошибку, влияющую на ее решение Endpoint Manager (EPM), которая в случае успешной эксплуатации может привести к удаленному выполнению кода (RCE) на уязвимых серверах.
Отслеживаемая как CVE-2023-39336, уязвимость получила оценку 9,6 из 10 в системе оценки CVSS. Недостаток затрагивает EPM 2021 и EPM 2022 до SU5.
"В случае ее использования злоумышленник, имеющий доступ к внутренней сети, может использовать неуказанную SQL-инъекцию для выполнения произвольных SQL-запросов и получения выходных данных без необходимости аутентификации", - сказал Ivanti в рекомендательном письме.
"Это может позволить злоумышленнику контролировать машины, на которых запущен агент EPM. Когда основной сервер настроен на использование SQL Express, это может привести к RCE на основном сервере".
Раскрытие поступило через несколько недель после того, как компания устранила почти два десятка недостатков безопасности в своем решении Avalanche enterprise для управления мобильными устройствами (MDM).
Из 21 проблемы 13 имеют критический рейтинг (баллы CVSS: 9,8) и характеризуются как переполнение буфера без проверки подлинности. Они были исправлены в Avalanche 6.4.2.
"Злоумышленник, отправляющий специально созданные пакеты данных на сервер мобильных устройств, может вызвать повреждение памяти, что может привести к отказу в обслуживании (DoS) или выполнению кода", - сказал Иванти.
Хотя нет доказательств того, что эти вышеупомянутые уязвимости использовались повсеместно, поддерживаемые государством субъекты в прошлом использовали уязвимости нулевого дня (CVE-2023-35078 и CVE-2023-35081) в Ivanti Endpoint Manager Mobile (EPMM) для проникновения в сети нескольких норвежских правительственных организаций.
Месяц спустя другая критическая уязвимость в продукте Ivanti Sentry (CVE-2023-38035, оценка CVSS: 9,8) активно использовалась в качестве нулевого дня.
Отслеживаемая как CVE-2023-39336, уязвимость получила оценку 9,6 из 10 в системе оценки CVSS. Недостаток затрагивает EPM 2021 и EPM 2022 до SU5.
"В случае ее использования злоумышленник, имеющий доступ к внутренней сети, может использовать неуказанную SQL-инъекцию для выполнения произвольных SQL-запросов и получения выходных данных без необходимости аутентификации", - сказал Ivanti в рекомендательном письме.
"Это может позволить злоумышленнику контролировать машины, на которых запущен агент EPM. Когда основной сервер настроен на использование SQL Express, это может привести к RCE на основном сервере".
Раскрытие поступило через несколько недель после того, как компания устранила почти два десятка недостатков безопасности в своем решении Avalanche enterprise для управления мобильными устройствами (MDM).
Из 21 проблемы 13 имеют критический рейтинг (баллы CVSS: 9,8) и характеризуются как переполнение буфера без проверки подлинности. Они были исправлены в Avalanche 6.4.2.
"Злоумышленник, отправляющий специально созданные пакеты данных на сервер мобильных устройств, может вызвать повреждение памяти, что может привести к отказу в обслуживании (DoS) или выполнению кода", - сказал Иванти.
Хотя нет доказательств того, что эти вышеупомянутые уязвимости использовались повсеместно, поддерживаемые государством субъекты в прошлом использовали уязвимости нулевого дня (CVE-2023-35078 и CVE-2023-35081) в Ivanti Endpoint Manager Mobile (EPMM) для проникновения в сети нескольких норвежских правительственных организаций.
Месяц спустя другая критическая уязвимость в продукте Ivanti Sentry (CVE-2023-38035, оценка CVSS: 9,8) активно использовалась в качестве нулевого дня.
