Ivanti 本次共修复10个漏洞，其中6个即编号为从CVE-2024-29822到CVE-2024-29827（CVSS评分9.6）的漏洞与SQL注入有关，可导致位于同一个网络中的未认证攻击者执行任意代码。

余下的4个漏洞编号为CVE-2024-29828、CVE-2024-29829、CVE-2024-29830和CVE-2024-29846（CVSS评分8.4），与上述漏洞几乎属于同一类型，唯一不同之处在于它们要求攻击者进行认证。

这些漏洞影响 Ivanti EPM 2022 SU5及之前版本的 Core 服务器。

Ivanti 公司还修复了位于 Avalanche 6.4.3.602中的高危漏洞 (CVE-2024-29848，CVSS评分7.2)，可导致攻击者通过上传特殊构造的文件的方式，实现远程代码执行后果。

此外，Ivanti 公司还修复了其它5个高危漏洞：Neurons for ITSM中的SQL注入漏洞 (CVE-2024-22059) 和不受限制的文件上传漏洞 (CVE-2024-22060)，位于Connect Secure 中的CRLF 注入漏洞 (CVE-2023-38551) 和位于Windows 和Linux版 Secure Access 客户端中的两个本地提权漏洞（CVE-2023-38042和CVE-2023-46801）。

Ivanti 公司强调称目前尚未有证据表明这些漏洞已遭在野利用或通过供应链攻击“被恶意引入到我们的代码开发流程”。

其它相关漏洞

此前不久，Netflix 开发的大数据协同和执行引擎 Genie 开源版本中被指存在一个严重漏洞 CVE-2024-4701（CVSS评分9.9），可导致远程代码执行后果。该漏洞被指为路径遍历漏洞，可被用于在文件系统中写入任意文件并执行任意代码。它影响4.3.18前的所有版本。该漏洞是因为 Genie 的REST API 旨在将用户提供的文件名称接受为该请求的一部分，从而导致恶意人员构造文件名称，突破默认的附件存储路径并将配有任何用户指定名称的文件写入由该行动者指定的路径中。维护人员在安全公告中提到，“运行自身实例并依赖该文件系统存储发送给 Genie 应用的文件附件的Genie OSS 用户均受影响。”话虽如此，未将附件本地存储在该底层文件系统的用户并不受影响。

Contrast Security 公司的研究员 Joseph Beeton 指出，“如成功，则此类攻击可欺骗 web 应用读取并暴露应用程序或 web 服务器的文档根目录之外的文件内容，包括后端系统的凭据、应用代码和数据以及敏感的操作系统文件。”

本周早些时候，美国政府提醒称威胁行动者一直利用软件中的目录遍历漏洞实施攻击，呼吁开发人员采用设计安全方法消减此类漏洞。

前不久，霍尼韦尔的Control Edge UOC 控制器中出现多个漏洞（CVE-2023-5389和CVE-2023-5390），可导致未认证的远程代码执行后果。Claroty 公司提到，“已经位于OT网络上的攻击者可使用恶意网络数据包利用该漏洞并攻陷虚拟控制器。攻击者可远程执行攻击，修改文件，完全控制控制器并执行恶意代码。”

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~