Zum Inhalt springen
Einblicke für Analysten: Laden Sie noch heute Ihr Exemplar des Gartner® Hype Cycle™ for Security Operations, 2024 Reports herunter! | Bericht abrufen
Beratung

19. August 2024 Hinweis: Umgehung der Authentifizierung in Ivanti vTM [CVE-2024-7593]

Ivanti Virtual Traffic Manager (vTM) Authentifizierungsumgehung [CVE-2024-7593]

Datum der Offenlegung: August 12, 2024

CVE-ID und CVSS-Score: CVE-2024-7593: CVSS 9.8 (zugewiesen von Ivanti)

Asset-Beschreibung: Ivanti Virtual Traffic Manager (vTM) ist eine Softwareanwendung, die zur Verwaltung und Optimierung der Bereitstellung von Anwendungen in Netzwerken verwendet wird. Diese Sicherheitslücke betrifft die Versionen 22.2 bis 22.2R1 und 22.3 bis 22.3R1.

Aufgedeckte Ivanti vTM-Schnittstelle, mit Hinweisen auf die verwundbare Version 22.2

Auswirkungen der Schwachstelle: Die Sicherheitsanfälligkeit ermöglicht es einem nicht authentifizierten Angreifer, die Authentifizierung des Admin-Bedienfelds zu umgehen und einen neuen Admin-Benutzer zu erstellen, was zu unberechtigtem Zugriff und Kontrolle über das betroffene System führen kann.

Details zur Ausnutzung: Für diese Sicherheitslücke ist ein öffentlicher PoC verfügbar. Die Schwachstelle ist auf eine fehlerhafte Implementierung eines Authentifizierungsalgorithmus zurückzuführen, die von Angreifern ausgenutzt werden kann, um unbefugten Zugriff zu erhalten. Ivanti hat erklärt, dass zum Zeitpunkt der Veröffentlichung keine Kunden bekannt sind, die von dieser Sicherheitslücke betroffen sind. Allerdings ist ein Proof of Concept öffentlich verfügbar, und wir empfehlen unseren Kunden dringend, auf die neueste gepatchte Version zu aktualisieren."

Patch-Verfügbarkeit: Ivanti hat bisher Patches für die Versionen 22.2 und 22.7R1 veröffentlicht und plant die Veröffentlichung von Patches für alle Versionen bis zum 19. August (diese Woche, zum Zeitpunkt der Erstellung dieses Artikels). Nachfolgend finden Sie eine Tabelle mit den geplanten Patch-Rollouts für alle Versionen, die in der Mitteilung enthalten ist.

Produktname Betroffene Version(en) Gelöste Version(en) Patch-Verfügbarkeit
Ivanti Virtual Traffic Manager 22.2 22.2R1 Verfügbar
Ivanti Virtual Traffic Manager 22.3 22.3R3 Woche vom 19. August
Ivanti Virtual Traffic Manager 22.3R2 22.3R3 Woche vom 19. August
Ivanti Virtual Traffic Manager 22.5R1 22.5R2 Woche vom 19. August
Ivanti Virtual Traffic Manager 22.6R1 22.6R2 Woche vom 19. August
Ivanti Virtual Traffic Manager 22.7R1 22.7R2 Verfügbar

Censys Perspektive:

  • Zum Zeitpunkt der Erstellung dieses Dokuments sind unter Censys 97 exponierte Geräte online.
  • Im Einklang mit unserer Richtlinie veröffentlichen wir keine Censys Abfragen für Rapid Response in öffentlichen Advisories, wenn unsere Daten 100 oder weniger betroffene Geräte anzeigen, um zu vermeiden, dass Bedrohungsakteure direkte Angriffsziele erhalten.

Referenzen:

 

Lösungen für das Management von Angriffsflächen
Mehr erfahren