Kwetsbaarheden verholpen in Ivanti Connect Secure en Policy Secure

Ivanti heeft kwetsbaarheden verholpen in Ivanti Connect Secure (Specifiek voor versies vóór 22.7R2.4) en Policy Secure (Specifiek voor versies vóór 22.7R1.2). De kwetsbaarheden bevinden zich in de Secure Application Manager component en de IPSEC-component van Ivanti Connect Secure en Policy Secure en omvatten onvoldoende server-side controles. Deze kwetsbaarheden kunnen worden misbruikt door kwaadwillenden om beveiligingsrestricties te omzeilen en ongeautoriseerde controle over de systemen te verkrijgen of een Denial-of-Service te veroorzaken. Dit kan leiden tot een inbreuk op de beveiligingsarchitectuur van de getroffen organisaties. De kwetsbaarheden bevinden zich (m.u.v. CVE-2024-11634) ook in de systeemversie 9.x. Deze is echter sinds juni 2024 End-of-Engineering en zal per 31 december 2024 End-of-Life gaan, waardoor deze géén updates zal ontvangen om deze kwetsbaarheden te verhelpen. De kwetsbaarheden met kenmerk CVE-2024-37377 en CVE-2024-37401 bevinden zich in de IPSEC-functionaliteit en zijn op afstand te misbruiken zonder voorafgaande authenticatie. Succesvol misbruik leidt tot een Denial-of-Service (DoS). De kwetsbaarheid met kenmerk CVE-2024-9844 bevindt zich in de Secure Application Manager en vereist voorafgaande authenticatie. De kwetsbaarheden met kenmerk CVE-2024-11633 en CVE-2024-11634 vereisen voorafgaande authenticatie met Admin-rechten. Misbruik van deze kwetsbaarheden stelt een kwaadwillende in staat om willekeurige code uit te voeren op het kwetsbare systeem. Uit betrouwbare bron ontvangt het NCSC signalen dat de kwetsbaarheden beperkt zijn misbruikt. Er is geen publiek beschikbare Proof-of-Concept (PoC) of exploitcode beschikbaar. Het is mogelijk dat deze wel op korte termijn beschikbaar komt, waarmee de kans op grootschalig misbruik toeneemt.