CVE-2024-21893: fallo de gravedad alta en Ivanti ICS
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene alerta oficial del gobierno de Brasil y tiene exploit funcional público.
El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.
- CTIR Gov · ALERTA 02/2024Atualizações sobre vulnerabilidades em produtos Volexity Ivantileer en gov.br ↗
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Una falla en el componente SAML del Ivanti Connect Secure y Policy Secure permite que atacantes obliguen al servidor a obtener recursos restringidos en su nombre, sin necesidad de iniciar sesión. Esto elude las protecciones que deberían impedir el acceso a datos sensibles.
Falsificación de solicitud del lado del servidor (SSRF) en el procesamiento SAML del Ivanti Connect Secure, Policy Secure y Neurons for ZTA (versiones 9.x, 22.x) permite que atacantes no autenticados fuercen al servidor a solicitar recursos restringidos. La vulnerabilidad resulta de validación insuficiente de solicitudes controladas por SAML, permitiendo acceso a endpoints y datos protegidos sin autenticación previa.
El análisis completo de esta CVE está disponible en portugués →
En el mismo producto, de las más peligrosas a las menos.