BDU:2023-04838

Опубликовано: 21 авг. 2023

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Критический

Описание

Уязвимость панели администрирования MICS встроенного мобильного шлюза безопасности Ivanti Sentry связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить изменение конфигурации, запускать системные команды или записывать файлы в систему путем получения доступа к прикладному программному интерфейсу

Вендор

Ivanti

Наименование ПО

Ivanti Sentry

Версия ПО

до 9.18.0 включительно (Ivanti Sentry)

Тип ПО

Средство защиты

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничить возможность доступа к интерфейсу администрирования из внешних сетей (Интернет);

- ограничить доступ к интерфейсу администрирования путем блокирования доступа к 8443-порту;

- использование средств межсетевого экранирования для ограничения возможности удаленного доступа.

Использование рекомендаций производителя:

https://forums.ivanti.com/s/article/CVE-2023-38035-API-Authentication-Bypass-on-Sentry-Administrator-Interface?language=en_US

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-38035
CVE

EPSS

Процентиль: 100%

0.94438

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2023-38035

CVSS3: 9.8

nvd

больше 2 лет назад

A security vulnerability in MICS Admin Portal in Ivanti MobileIron Sentry versions 9.18.0 and below, which may allow an attacker to bypass authentication controls on the administrative interface due to an insufficiently restrictive Apache HTTPD configuration.

GHSA-f3rm-cm42-4w4f

CVSS3: 9.8

github

больше 2 лет назад

EPSS

Процентиль: 100%

0.94438

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2