Ivanti-ն թողարկել է անվտանգության չորս նոր խոցելիություններ, որոնք ազդում են՝ Connect Secure և Policy Secure Gateway-ների վրա։ Դրանք կարող են հանգեցնել կոդի կատարման և denial-of-service (DoS)–ի։
Խոցելիությունների ցանկը հետևյալն է՝
– CVE-2024-21894 (CVSS կատալոգում միավորը՝ 8.2) – Ivanti Connect Secure-ի (9.x, 22.x) և Ivanti Policy Secure-ի IPSec հոսքի խոցելիությունը, որը հաքերներին թույլ է տալիս հատուկ մշակված հարցումներ ուղարկել։
– CVE-2024-22052 (CVSS կատալոգում միավորը՝ 8.2) – Ivanti Connect Secure-ի (9.x, 22.x) և Ivanti Policy Secure-ի IPSec բաղադրիչում null pointer–ի խոցելիություն:
– CVE-2024-22053 (CVSS կատալոգում միավորը՝ 8.2) – Ivanti Connect Secure-ի (9.x, 22.x) և Ivanti Policy Secure-ի IPSec բաղադրիչում heap overflow–ի խոցելիություն։
– CVE-2024-22023 (CVSS կատալոգում միավորը՝ 8.2) – Ivanti Connect Secure-ի SAML բաղադրիչում (9.x, 22.x) և Ivanti Policy Secure-ի XML–ում XEE խոցելիությունը հաքերներին թույլ է տալիս հատուկ մշակված XML հարցումներ ուղարկել:
Անցյալ ամսվա վերջին Ivanti–ին Standalone Sentry արտադրանքի կրիտիկական խոցելիության (CVE-2023-41724, CVSS կատալոգում միավորը՝ 9.6) համար նոր շտկումներ կատարեց։ Խոցելիությունը չվավերացված հաքերներին կարող էր թույլ տալ օպերացիոն համակարգում կամայական հրամաններ կատարել:
Այն նաև լուծեց մեկ այլ խոցելիության հարց, որն ազդում էր ITSM-ի ներքին տարբերակների վրա (CVE-2023-46808, CVSS կատալոգում միավորը՝ 9.9)։ Խոցելիությունը վավերացված remote հաքերին կարող էր թույլ տալ ֆայլերում կամայական գործողություններ կատարել և վնասակար կոդեր գործարկել։
Էբոթիի փոխանցմամբ «վերջին ամիսների իրադարձություններն աղմկահարույց չէին»։ Այժմ իրականացվում է մի ծրագիր, որն էապես փոխում է անվտանգության մոդելը՝ հաճախորդների հետ կիսվելով տեղեկատվության ամբողջական թափանցիկությամբ և վերակառուցելով դրա ինժերենիան։
Աղբյուրը՝ https://thehackernews.com/
