CVE-2024-38653highexploração observadaCWE-611

CVE-2024-38653: falha de alta gravidade em Ivanti Avalanche

Publicada em

Seguir esta CVE+ Monitorar Avalanche

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

80Vexday Risk Score

Corrija agora. Ela exploração observada pelo VulnCheck e tem exploit funcional público.

ssvc Actcvss 8.2epss 92%
da publicação à arma
Publicada no NVD14 de ago.
VulnCheck+120d
Em resumo

Uma falha no Ivanti Avalanche 6.3.1 permite que atacantes leiam qualquer arquivo do servidor enviando requisições XML malformadas, sem precisar fazer login. Isso pode expor dados sensíveis como arquivos de configuração ou credenciais.

Detalhe técnico

Vulnerabilidade de injeção XXE (XML External Entity) no componente SmartDeviceServer permite a atacantes remotos não autenticados ler arquivos arbitrários através de payloads XML maliciosos. A exploração requer acesso à rede do endpoint afetado e sem autenticação; o sucesso resulta em divulgação de informações sensíveis dos arquivos do servidor.

Resumo gerado e traduzido por IA a partir da descrição oficial.
XXE in SmartDeviceServer in Ivanti Avalanche 6.3.1 allows a remote unauthenticated attacker to read arbitrary files on the server.
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L
Produtos afetados
Ivanti · Avalanche
CVEs relacionadas — Ivanti Avalanche

No mesmo produto, das mais perigosas para as menos.

CVE-2023-32560HIGHCVE-2023-32560EPSS 99.4%CVE-2021-22962HIGHCVE-2021-22962EPSS 91.0%CVE-2023-46264HIGHCVE-2023-46264EPSS 90.2%CVE-2023-32563HIGHCVE-2023-32563EPSS 89.1%CVE-2022-36974CRITICALCVE-2022-36974EPSS 84.5%CVE-2022-36981HIGHCVE-2022-36981EPSS 83.4%