CVE-2024-47908

OS command injection w Ivanti CSA — RCE dla admina

CVSS 9.1v3.1pub. 2025-02-11upd. 2025-02-20

Podatność typu OS command injection w konsoli administracyjnej Ivanti Cloud Services Appliance (CSA) przed wersją 5.0.5 umożliwia zdalnemu atakującemu z uprawnieniami administratora wykonanie dowolnego kodu na serwerze. Wysoki wynik CVSS 9.1 wynika z możliwości pełnego przejęcia kontroli nad systemem przy stosunkowo prostych warunkach ataku.

▸ Pokaż oryginał (EN)

OS command injection in the admin web console of Ivanti CSA before version 5.0.5 allows a remote authenticated attacker with admin privileges to achieve remote code execution.

🤖 Analiza AI

Jak działa

Luka polega na niewystarczającej walidacji danych wejściowych w panelu administracyjnym aplikacji webowej Ivanti CSA, co umożliwia wstrzyknięcie złośliwych poleceń systemowych (OS command injection, CWE-78). Atakujący uwierzytelniony jako administrator może spreparować odpowiednie żądanie do konsoli webowej, w wyniku czego system operacyjny urządzenia wykona dostarczone polecenia w kontekście aplikacji. Atak jest realizowany zdalnie przez sieć, bez konieczności fizycznego dostępu do urządzenia.

Skutki

Pomyślne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie kodu (RCE) na urządzeniu Ivanti CSA, co może skutkować pełnym przejęciem kontroli nad systemem, odczytem i modyfikacją danych oraz naruszeniem poufności, integralności i dostępności całego środowiska.

Mitygacja

Należy zaktualizować Ivanti Cloud Services Appliance do wersji 5.0.5 lub nowszej. Szczegółowe informacje dostępne są w poradniku bezpieczeństwa producenta pod adresem wskazanym w referencjach. Jako środek tymczasowy zaleca się ograniczenie dostępu do konsoli administracyjnej wyłącznie do zaufanych adresów IP oraz stosowanie zasady najmniejszych uprawnień.