Ivanti a publié des mises à jour logicielles pour adresse plusieurs failles de sécurité impactant Endpoint Manager (EPM), dont 10 vulnérabilités critiques pouvant entraîner l’exécution de code à distance.
Voici une brève description des problèmes :
- CVE-2024-29847 (score CVSS : 10,0) – Une vulnérabilité de désérialisation de données non fiables qui permet à un attaquant distant non authentifié d’exécuter du code.
- CVE-2024-32840, CVE-2024-32842, CVE-2024-32843, CVE-2024-32845, CVE-2024-32846, CVE-2024-32848, CVE-2024-34779, CVE-2024-34783 et CVE-2024-34785 (scores CVSS : 9,1) – Plusieurs vulnérabilités d’injection SQL non spécifiées qui permettent à un attaquant authentifié distant disposant de privilèges d’administrateur d’exécuter du code à distance
Les failles affectent les versions EPM 2024 et 2022 SU5 et antérieures, avec des correctifs mis à disposition dans les versions 2024 SU1 et 2022 SU6, respectivement.
Ivanti a déclaré n’avoir trouvé aucune preuve que les failles aient été exploitées dans la nature en tant que zero-day, mais il est essentiel que les utilisateurs mettent à jour vers la dernière version pour se protéger contre les menaces potentielles.
La mise à jour de septembre a également abordé sept lacunes très graves dans Contrôle de l’espace de travail Ivanti (IWC) et Dispositif de service cloud Ivanti (CSA).
La société a déclaré avoir renforcé ses capacités d’analyse interne, d’exploitation manuelle et de test, et avoir amélioré son processus de divulgation responsable pour découvrir et résoudre rapidement les problèmes potentiels.
« Cela a provoqué une augmentation des découvertes et des divulgations », a déclaré la société. noté.
Ce développement intervient à la suite d’une exploitation massive dans la nature de plusieurs zero-day dans les appareils Ivanti, notamment par des groupes de cyberespionnage liés à la Chine pour pénétrer dans des réseaux d’intérêt.
Cela intervient également alors que Zyxel a livré des correctifs pour une vulnérabilité critique d’injection de commandes du système d’exploitation (CVE-2024-6342, score CVSS : 9,8) dans deux de ses périphériques de stockage en réseau (NAS).
« Une vulnérabilité d’injection de commande dans le programme export-cgi des périphériques Zyxel NAS326 et NAS542 pourrait permettre à un attaquant non authentifié d’exécuter certaines commandes du système d’exploitation (OS) en envoyant une requête HTTP POST spécialement conçue », a déclaré la société. dit dans une alerte.
La faille de sécurité a été corrigée dans les versions ci-dessous –
- NAS326 (affecte V5.21(AAZF.18)C0 et versions antérieures) – Corrigé dans V5.21(AAZF.18)Hotfix-01
- NAS542 (affecte V5.21(ABAG.15)C0 et versions antérieures) – Corrigé dans V5.21(ABAG.15)Hotfix-01