Ivanti ha corregido una vulnerabilidad de máxima gravedad en su software Endpoint Management (EPM) que puede permitir a atacantes no autenticados obtener la ejecución remota de código en el servidor central.
Ivanti EPM ayuda a los administradores a gestionar dispositivos cliente que ejecutan varias plataformas, incluidos los sistemas operativos Windows, macOS, Chrome OS e IoT.
La falla de seguridad (CVE-2024-29847) es causada por una debilidad en la deserialización de datos no confiables en el portal del agente que ha sido abordada en los parches Ivanti EPM 2024 e Ivanti EPM 2022 Service Update 6 (SU6).
"Una explotación exitosa podría conducir a un acceso no autorizado al servidor central de EPM", dijo la compañía en un aviso publicado hoy.
Por el momento, Ivanti ha añadido que "no tiene conocimiento de ningún cliente que esté siendo explotado por estas vulnerabilidades en el momento de la divulgación. Actualmente, no se conoce ninguna explotación pública de esta vulnerabilidad que pueda utilizarse para proporcionar una lista de indicadores de compromiso."
Ayer también se han corregido casi dos docenas más de fallos de gravedad alta y crítica en Ivanti EPM, Workspace Control (IWC) y Cloud Service Appliance (CSA) que no habían sido explotados in the wild antes de ser parcheados.
En enero, la empresa parcheó una vulnerabilidad RCE similar (CVE-2023-39336) en Ivanti EPM que podía aprovecharse para acceder al servidor central o secuestrar los dispositivos inscritos.
Fallos corregidos
Ivanti declaró que en los últimos meses había incrementado sus capacidades internas de escaneado, explotación manual y pruebas, al tiempo que trabajaba en la mejora de su proceso de divulgación responsable para abordar los posibles problemas con mayor rapidez.
Esto ha provocado un aumento en el descubrimiento y la divulgación, y estamos de acuerdo con la declaración de CISA de que el descubrimiento responsable y la divulgación de CVE es "un signo de análisis de código saludable y de la comunidad de pruebas", dijo Ivanti.
Esta declaración se produce después de que en los últimos años se hayan explotado de forma generalizada varios zero-days de Ivanti. Por ejemplo, los dispositivos VPN de Ivanti han sido blanco de ataques desde diciembre de 2023 utilizando exploits que encadenaban los fallos de inyección de comandos CVE-2024-21887 y de omisión de autenticación CVE-2023-46805 como zero-day.
La compañía también advirtió de un tercer zero-day (un fallo de falsificación de petición del lado del servidor ahora rastreado como CVE-2024-21893) bajo explotación masiva en febrero, permitiendo a los atacantes eludir la autenticación en ICS vulnerables, IPS y puertas de enlace ZTA.
Ivanti afirma que cuenta con más de 7.000 socios en todo el mundo y que más de 40.000 empresas utilizan sus productos para gestionar sus activos y sistemas informáticos.
Fuente: bleepingcomputer