CVE-2024-37397
33Vexday Risk Score
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
ssvc Trackcvss 8.2epss 59%
probabilidad de explotación
59%top 1% de las CVE
explotación observada
noninguna fuente lo reporta
En resumen
El servicio de aprovisionamiento de Ivanti EPM procesa archivos XML de forma insegura, permitiendo que atacantes roben secretos de API del sistema sin necesidad de autenticarse.
Detalle técnico
Una vulnerabilidad XXE en el servicio de aprovisionamiento permite que atacantes remotos no autenticados extraigan secretos de API mediante payloads XML maliciosos que hacen referencia a entidades externas. Las versiones afectadas son anteriores a SU6 de 2022 o anteriores a la actualización de septiembre de 2024; la explotación requiere solo acceso de red al endpoint de aprovisionamiento.
Resumen generado y traducido por IA a partir de la descripción oficial.
An External XML Entity (XXE) vulnerability in the provisioning web service of Ivanti EPM before 2022 SU6, or the 2024 September update allows a remote unauthenticated attacker to leak API secrets.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
Productos afectados
Ivanti · EPM