A Ivanti apresentou correções para tratar de múltiplas falhas de segurança críticas no Endpoint Manager (EPM) que poderiam ser exploradas para obter execução de código remoto em circunstâncias específicas.

Seis das 10 vulnerabilidades – de CVE-2024-29822 a CVE-2024-29827 (pontuações CVSS: 9.6) – estão relacionadas a falhas de injeção SQL que permitem a um atacante não autenticado na mesma rede executar código arbitrário.

As quatro falhas restantes – CVE-2024-29828, CVE-2024-29829, CVE-2024-29830 e CVE-2024-29846 (pontuações CVSS: 8.4) – também se enquadram na mesma categoria, com a única diferença sendo que requerem que o atacante esteja autenticado.

As deficiências afetam o servidor Core das versões 2022 SU5 e anteriores do Ivanti EPM.

A empresa também abordou uma falha de segurança de alta gravidade na versão do Avalanche 6.4.3.602 (CVE-2024-29848, pontuação CVSS: 7.2) que poderia permitir a um atacante obter execução de código remoto enviando um arquivo especialmente elaborado.

Além disso, patches foram enviados para outras cinco vulnerabilidades de alta gravidade: uma injeção SQL (CVE-2024-22059) e uma falha de upload de arquivo não restrito (CVE-2024-22060) no Neurons for ITSM, uma falha de injeção CRLF no Connect Secure (CVE-2023-38551) e dois problemas de escalonamento de privilégios locais no cliente de Acesso Seguro para Windows (CVE-2023-38042) e Linux (CVE-2023-46810).

A Ivanti enfatizou que não há evidências de que as falhas estejam sendo exploradas ou que foram “introduzidas em nosso processo de desenvolvimento de código maliciosamente” por meio de um ataque de cadeia de suprimentos.

Essa divulgação ocorre após detalhes sobre uma falha crítica na versão de código aberto do mecanismo de orquestração e execução de Big Data federado Genie desenvolvido pela Netflix (CVE-2024-4701, pontuação CVSS: 9.9) que poderia levar à execução de código remoto.

Descrita como uma vulnerabilidade de travessia de caminho, a deficiência poderia ser explorada para gravar um arquivo arbitrário no sistema de arquivos e executar código arbitrário. Isso afeta todas as versões do software anteriores à 4.3.18.

O problema decorre do fato de que a API REST do Genie é projetada para aceitar um nome de arquivo fornecido pelo usuário como parte da solicitação, permitindo assim que um ator malicioso crie um nome de arquivo de forma que possa sair do caminho padrão de armazenamento de anexos e gravar um arquivo com qualquer nome especificado pelo usuário em um caminho especificado pelo ator.

“Qualquer usuário do Genie OSS que execute sua própria instância e confie no sistema de arquivos para armazenar os anexos de arquivo enviados para a aplicação do Genie pode ser impactado”, afirmaram os mantenedores em um aviso.

“Usando essa técnica, é possível gravar um arquivo com qualquer nome de arquivo especificado pelo usuário e conteúdo de arquivo em qualquer local no sistema de arquivos que o processo Java tenha acesso de gravação – potencialmente levando à execução de código remoto (RCE).”

Isso dito, os usuários que não armazenam os anexos localmente no sistema de arquivos subjacente não são suscetíveis a esse problema.