-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in Ivanti Connect Secure en Policy Secure
Advisory ID     : NCSC-2024-0442
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2024-8495, CVE-2024-9420, CVE-2024-11004,
                  CVE-2024-11005, CVE-2024-11006, CVE-2024-11007,
                  CVE-2024-37400, CVE-2024-38649, CVE-2024-38655,
                  CVE-2024-38656, CVE-2024-39709, CVE-2024-39710,
                  CVE-2024-39711, CVE-2024-39712, CVE-2024-47905,
                  CVE-2024-47906, CVE-2024-47907, CVE-2024-47909
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Incorrect Permission Assignment for Critical Resource
                  Out-of-bounds Write
                  Stack-based Buffer Overflow
                  NULL Pointer Dereference
                  Improper Neutralization of Input During Web Page
                  Generation ('Cross-site Scripting')
                  Incorrect Default Permissions
                  Buffer Over-read
                  Privilege Defined With Unsafe Actions
                  Improper Neutralization of Special Elements used in an
                  OS Command ('OS Command Injection')
                  Out-of-bounds Read
                  Untrusted Search Path
                  Use After Free
Uitgiftedatum   : 20241113
Toepassing      : ivanti connect_secure
                  ivanti policy_secure
Versie(s)       :
Platform(s)     :

Beschrijving
   Ivanti heeft kwetsbaarheden verholpen in Connect Secure en Policy
   Secure.

   Een kwaadwillende kan de kwetsbaarheden misbruiken om aanvallen uit
   te voeren die kunnen leiden tot de volgende categorieën schade:
   * Denial-of-Service (DoS)
   * Cross-Site Scripting (XSS)
   * Verhoogde gebruikersrechten
   * (Remote) code execution (Gebruikersrechten)
   Om code executie te verkrijgen is voorafgaande authenticatie met
   admin rechten vereist. Kwetsbaarheid met kenmerk CVE-2024-11004 kan
   echter misbruikt worden om op afstand zonder authenticatie admin
   rechten te verkrijgen. Hiervoor moet een gebruiker wel met admin
   rechten verleid worden om een malafide webpagina te openen.

Mogelijke oplossingen
   Ivanti heeft fixes uitgebracht om de kwetsbaarheid te verhelpen voor
   versies Connect Secure versie 22.7R2.3 en Policy Secure 22.7R1.2. Zie
   de referentie voor meer informatie.

   Referenties:
      Reference - cveprojectv5
      https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-
      Connect-Secure-ICS-Ivanti-Policy-Secure-IPS-Ivanti-Secure-Access-
      Client-ISAC-Multiple-CVEs

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----
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=viPg
-----END PGP SIGNATURE-----