BDU:2024-04300

Опубликовано: 31 мая 2024

Источник: fstec

CVSS3: 9.6

CVSS2: 8.3

EPSS Низкий

Описание

Уязвимость функции GetDBPatchProducts программного средства управления конечными точками Ivanti EPM 2022 SU5 существует из-за непринятия мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код путём внедрения специально сформированного SQL-кода

Вендор

Ivanti

Наименование ПО

Ivanti Endpoint Manager

Версия ПО

до 2022 SU5 включительно (Ivanti Endpoint Manager)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,3)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,6)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование виртуальных частных сетей для организации удаленного доступа (VPN);

- сегментирование сети для ограничения возмлжности удалённого доступа к продуктам;

- использование средств межсетевого экранирования уровня веб-приложений для ограничения возможности удалённого доступа;

- ограничение доступа из внешних сетей (Интернет).

Использование рекомендаций производителя:

https://forums.ivanti.com/s/article/Security-Advisory-May-2024

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-29827

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-29827
CVE

EPSS

Процентиль: 69%

0.00593

Низкий

9.6 Critical

CVSS3

8.3 High

CVSS2

Связанные уязвимости

CVE-2024-29827

CVSS3: 8.8

nvd

больше 1 года назад

An unspecified SQL Injection vulnerability in Core server of Ivanti EPM 2022 SU5 and prior allows an unauthenticated attacker within the same network to execute arbitrary code.

GHSA-jpvc-w686-44qr