Vier kwetsbaarheden in Ivanti Connect Secure en Policy Secure Gateways verholpen
Ivanti brengt patches uit voor zijn Connect Secure en Policy Secure Gateways, en dicht hiermee vier kritieke kwetsbaarheden in de VPN-appliances. Het gaat onder meer om een kwetsbaarheid die aanvallers in staat stelt op afstand willekeurige code uit te voeren op kwetsbare apparaten.
CVE-2024-21894 en CVE-2024-22053 (beide een CVSS score van 8,2) zijn de meest kritieke kwetsbaarheden die Ivanti dicht. In beide gevallen gaat om een zogeheten 'heap overflow'-kwetsbaarheid, die ongeautoriseerde gebruikers in staat stelt met behulp van daarvoor geprepareerde verzoeken de appliance te laten crashen en een DoS-aanval te veroorzaken. Dit kan onder bepaalde omstandigheden een aanvaller in staat stellen code uit te voeren op de kwetsbare appliance.
Ook dicht Ivanti CVE-2024-22052 (CVSS score van 7,5). Ook deze kwetsbaarheid stelt ongeautoriseerde gebruikers in staat met een daarvoor geprepareerd verzoek de service te laten crashen en zo een DoS-aanval te veroorzaken. Het vierde lek dat Ivanti verhelpt is CVE-2024-22024 (CVSS score van 5,3). Dit is een XEE-kwetsbaarheid in het SAML-component van Ivanti Connect Secure en Ivanti Policy Secure. Het lek stelt ongeautoriseerde gebruikers in staat met behulp van speciaal geprepareerde XL-verzoeken een DoS-aanval te veroorzaken. Meer informatie is hier beschikbaar.
Meer over Security
Over Wouter Hoeffnagel
