Risques
- Atteinte à l'intégrité des données
- Atteinte à la confidentialité des données
- Déni de service à distance
- Exécution de code arbitraire à distance
- Injection de code indirecte à distance (XSS)
- Élévation de privilèges
Systèmes affectés
- Avalanche versions antérieures à 6.4.3.602
- Connect Secure versions antérieures à 9.1R18.6, 22.7R2 et 22.5R2.4
- Endpoint Manager (EPM) version 2022 SU5 sans les derniers correctifs de sécurité temporaires
- Neurons pour ITSM/ITAM versions 2023.4, 2023.3, 2023.2 et 2023.1 sans le dernier correctif de sécurité
- Policy Secure versions antérieures à 22.7R1
- Secure Access Client versions antérieures à 22.7R1
Toutes les versions d'EPM sont affectées par les 10 vulnérabilités critiques (cf. https://forums.ivanti.com/s/article/KB-Security-Advisory-EPM-May-2024). Des correctifs temporaires sont disponibles seulement pour la version version 2022 SU5.
Résumé
De multiples vulnérabilités ont été découvertes dans les produits Ivanti. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une élévation de privilèges et un déni de service à distance.
Solutions
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité Ivanti Security-Advisory-May-2024 du 21 mai 2024 https://forums.ivanti.com/s/article/Security-Advisory-May-2024
- Référence CVE CVE-2023-38042 https://www.cve.org/CVERecord?id=CVE-2023-38042
- Référence CVE CVE-2023-38551 https://www.cve.org/CVERecord?id=CVE-2023-38551
- Référence CVE CVE-2023-46810 https://www.cve.org/CVERecord?id=CVE-2023-46810
- Référence CVE CVE-2024-22059 https://www.cve.org/CVERecord?id=CVE-2024-22059
- Référence CVE CVE-2024-22060 https://www.cve.org/CVERecord?id=CVE-2024-22060
- Référence CVE CVE-2024-29822 https://www.cve.org/CVERecord?id=CVE-2024-29822
- Référence CVE CVE-2024-29823 https://www.cve.org/CVERecord?id=CVE-2024-29823
- Référence CVE CVE-2024-29824 https://www.cve.org/CVERecord?id=CVE-2024-29824
- Référence CVE CVE-2024-29825 https://www.cve.org/CVERecord?id=CVE-2024-29825
- Référence CVE CVE-2024-29826 https://www.cve.org/CVERecord?id=CVE-2024-29826
- Référence CVE CVE-2024-29827 https://www.cve.org/CVERecord?id=CVE-2024-29827
- Référence CVE CVE-2024-29828 https://www.cve.org/CVERecord?id=CVE-2024-29828
- Référence CVE CVE-2024-29829 https://www.cve.org/CVERecord?id=CVE-2024-29829
- Référence CVE CVE-2024-29830 https://www.cve.org/CVERecord?id=CVE-2024-29830
- Référence CVE CVE-2024-29846 https://www.cve.org/CVERecord?id=CVE-2024-29846
- Référence CVE CVE-2024-29848 https://www.cve.org/CVERecord?id=CVE-2024-29848
