Ivanti, müşterilerini Connect Secure, Policy Secure ve ZTA ağ geçidi cihazlarında, saldırganların kimlik doğrulamayı atlamasına olanak verebilecek başka bir yüksek önemdeki güvenlik açığı konusunda uyardı.
Sorun şu şekilde izlendi: CVE-2024-22024CVSS puanlama sisteminde 10 üzerinden 8,3 puan aldı.
“Ivanti Connect Secure (9.x, 22.x), Ivanti Policy Secure (9.x, 22.x) ve ZTA ağ geçitlerinin SAML bileşenindeki, bir saldırganın belirli kısıtlı kaynaklara erişmesine izin veren bir XML harici varlığı veya XXE güvenlik açığı kimlik doğrulaması olmadan, “şirket bir danışma belgesinde söyledi.
Şirket, kusuru, CVE-2023-46805, CVE-2024-21887, CVE dahil olmak üzere yılın başından bu yana gün ışığına çıkan ürünlerdeki birden fazla güvenlik zayıflığına ilişkin devam eden soruşturmanın bir parçası olarak dahili bir inceleme sırasında keşfettiğini söyledi. -2024-21888 ve CVE-2024-21893.
CVE-2024-22024, ürünlerin aşağıdaki sürümlerini etkiler:
- Ivanti Connect Secure (sürümler 9.1R14.4, 9.1R17.2, 9.1R18.3, 22.4R2.2 ve 22.5R1.1)
- Ivanti Policy Secure (sürüm 22.5R1.1)
- ZTA (versiyon 22.6R1.3)
Hataya yönelik yamalar Connect Secure 9.1R14.5, 9.1R17.3, 9.1R18.4, 22.4R2.3, 22.5R1.2, 22.5R2.3 ve 22.6R2.2 sürümlerinde mevcuttur; Politika Güvenliği 9.1R17.3, 9.1R18.4 ve 22.5R1.2 sürümleri; ve ZTA’nın 22.5R1.6, 22.6R1.5 ve 22.6R1.7 sürümleri.
Ivanti, kusurun aktif olarak kullanıldığına dair bir kanıt bulunmadığını ancak CVE-2023-46805, CVE-2024-21887 ve CVE-2024-21893’ün geniş çapta kötüye kullanıldığı göz önüne alındığında, kullanıcıların en son düzeltmeleri uygulamak için hızlı hareket etmeleri gerektiğini söyledi.