CVE-2024-38652

Path Traversal w Ivanti Avalanche — nieuprawnione usuwanie plików i DoS

CVSS 9.1v3.1pub. 2024-08-14upd. 2024-08-15

Podatność path traversal w komponencie zarządzania skórkami (skin management) Ivanti Avalanche 6.3.1 umożliwia zdalnemu, nieuwierzytelnionemu atakującemu wywołanie odmowy usługi (DoS). Wysoki wynik CVSS 9.1 wynika z braku wymagań uwierzytelnienia i możliwości poważnego naruszenia integralności oraz dostępności systemu.

▸ Pokaż oryginał (EN)

Path traversal in the skin management component of Ivanti Avalanche 6.3.1 allows a remote unauthenticated attacker to achieve denial of service via arbitrary file deletion.

🤖 Analiza AI

Jak działa

Atakujący wysyła spreparowane żądanie sieciowe do komponentu skin management, podając ścieżkę zawierającą sekwencje path traversal (np. '../'). Brak odpowiedniej weryfikacji i sanityzacji ścieżki pozwala na wyjście poza dozwolony katalog i wskazanie dowolnego pliku w systemie. W rezultacie atakujący może usunąć arbitralne pliki, co prowadzi do zakłócenia działania lub całkowitego zatrzymania usługi.

Skutki

Atakujący bez żadnego uwierzytelnienia może trwale usunąć dowolne pliki na serwerze, powodując odmowę usługi (DoS) oraz naruszenie integralności systemu. Utrata kluczowych plików konfiguracyjnych lub systemowych może uniemożliwić prawidłowe działanie serwera Ivanti Avalanche.

Mitygacja

Należy zaktualizować Ivanti Avalanche do wersji 6.4.4 lub nowszej, zgodnie z oficjalnym biuletynem bezpieczeństwa producenta dostępnym pod adresem wskazanym w referencjach. Do czasu wdrożenia patcha zaleca się ograniczenie dostępu sieciowego do interfejsu zarządzania Ivanti Avalanche wyłącznie do zaufanych adresów IP.

Kogo dotyczy

Ivanti Avalanche w wersji 6.3.1 (zgodnie z opisem producenta; szczegółowy zakres wersji wskazany w referencjach producenta)

Uwagi

Podatność opisana w tym samym biuletynie bezpieczeństwa Ivanti co CVE-2024-38653, CVE-2024-36136, CVE-2024-37399 oraz CVE-2024-37373 — zaleca się jednoczesne zaadresowanie wszystkich wymienionych podatności podczas aktualizacji do wersji 6.4.4.