CVE-2024-11639 (CVSS 10) – Ivanti Cloud Services 应用程序中存在严重缺陷:建议立即修补

阅读量31458

发布时间 : 2024-12-11 15:06:37

x
译文声明

本文是翻译文章,文章原作者 do son,文章来源:securityonline

原文地址:https://securityonline.info/cve-2024-11639-cvss-10-critical-flaw-in-ivanti-cloud-services-application-immediate-patch-recommended/

译文仅供参考,具体内容表达以及含义原文为准。

CVE-2023-35081 & CVE-2024-11639

Ivanti,IT管理和安全解决方案的领先提供商,已经为其Ivanti云服务应用程序(CSA)发布了关键的安全更新。这些更新解决了可能导致身份验证绕过、远程代码执行(RCE)和任意SQL执行的安全漏洞。虽然目前在披露时还没有发现野外利用,但强烈建议各组织立即更新其系统。

  • CVE-2024-11639(CVSS 10):一个身份验证绕过漏洞允许未经身份验证的攻击者获得管理员网络控制台的管理员访问权限。
  • CVE-2024-11772(CVSS 9.1):一个命令注入漏洞允许拥有管理员权限的经过身份验证的攻击者在服务器上执行任意代码。
  • CVE-2024-11773(CVSS 9.1):一个SQL注入漏洞允许拥有管理员权限的经过身份验证的攻击者执行恶意的SQL语句。

Ivanti敦促所有客户立即更新到CSA版本5.0.3。更新可通过Ivanti下载门户获得。

这些漏洞,特别是CVE-2024-11639,其CVSS分数为完美的10.0,凸显了未能及时修补的组织面临重大风险。利用这些漏洞可能导致系统被控制、数据被盗或对连接系统的进一步攻击。

虽然目前还没有关于野外利用的报告,但这些漏洞的严重性意味着攻击者可能很快就会瞄准未打补丁的系统。使用Ivanti CSA的组织应迅速采取行动,以确保其基础设施保持安全。

本文翻译自securityonline 原文链接。如若转载请注明出处。
分享到:微信
+11赞
收藏
安全客
分享到:微信

发表评论

Copyright © 北京奇虎科技有限公司 三六零数字安全科技集团有限公司 安全KER All Rights Reserved 京ICP备08010314号-66