Уязвимости в Ivanti Endpoint Manager и Ivanti Cloud Services Application (CSA) позволяют выполнить произвольный код и получить права выше исходных. В Endpoint Manager, платформе для управления конечными устройствами, затронуты ветки 2022 и 2024. У CSA затронута веб-консоль администратора, через которую настраивают само приложение. Ivanti подтвердила проблемы и для Endpoint Manager, и для CSA, а также подготовила исправления.
Статус и детали уязвимостей Ivanti CSA и Endpoint Manager
Для CSA исправление вышло в версии 5.0.5: в записях вендор помечает её как не подверженную проблеме, а остальные сборки - как уязвимые по умолчанию. Для Endpoint Manager патчи доступны, но номера исправленных сборок в исходных данных не названы, их указывают в уведомлении Ivanti. Сведений об эксплуатации в реальных атаках нет. Публикация технических деталей означает лишь то, что уязвимости раскрыты, а не то, что их уже применяют.
Обход каталогов без входа в систему
Обход каталогов - приём, при котором в путь к разделу приложения подставляют переходы на уровень выше, чтобы выйти за пределы разрешённой папки. В CSA он открывает закрытую функциональность без входа в систему. По шкале CVSS, общей системе оценки серьёзности уязвимостей, проблема получает 5,3 из 10 - это уровень Medium. Атака идёт по сети, учётные данные не нужны, участие пользователя не требуется. Утечка ограничена: атакующий читает часть данных, но не меняет их и не нарушает работу приложения.
Внедрение команд в консоли администратора
Другая проблема CSA - внедрение команд операционной системы через веб-консоль администратора. Когда введённые в интерфейсе данные попадают в системную команду без проверки, атакующий дописывает к ней свои команды, и сервер выполняет их. Оценка CVSS - 9,1 из 10, уровень Critical. Атака идёт по сети, участие пользователя не требуется, но нужны права администратора CSA: без учётной записи управления внедрение не сработает. Успех даёт контроль над данными и работой системы, причём последствия выходят за пределы самого приложения.
Что Ivanti не раскрывает по Endpoint Manager
По Endpoint Manager вендор ограничился общей рамкой: уязвимости есть, патчи доступны. Тип проблем, условия атаки и оценку CVSS Ivanti в этом тексте не приводит. Известно лишь, что успешная эксплуатация ведёт к выполнению произвольного кода или повышению привилегий на затронутой системе. Повышение привилегий означает получение прав выше исходных, вплоть до уровня системной учётной записи. Точные данные и перечень исправленных сборок приведены в уведомлении вендора.
Администраторам нужно обновить CSA до версии 5.0.5 и установить патчи для Endpoint Manager 2022 и 2024 по инструкции вендора. Обходных мер в опубликованных данных нет, поэтому временных заменителей обновлению не предлагается. Если немедленное обновление невозможно, остаётся отслеживать новые редакции уведомления Ivanti. Приоритет стоит отдать CSA: там есть внедрение команд, а консоль доступна по сети.
Значимость проблем в CSA разная. Обход каталогов даёт атакующему немного: он открывает часть закрытой функциональности, но не передаёт управление системой. Внедрение команд опаснее, однако требует действующей учётной записи администратора CSA: такая атака опирается на уже похищенные или подобранные учётные данные. Для Endpoint Manager итог зависит от того, какая именно уязвимость сработает. Пока вендор не раскрыл деталей, последствия приходится оценивать по общему описанию.
Ссылки
- https://hub.ivanti.com/s/article/Ivanti-Endpoint-Manager-and-Endpoint-Security-General-Frequently-Asked-Questions?language=en_US
- https://www.cve.org/CVERecord?id=CVE-2024-11771
- https://www.cve.org/CVERecord?id=CVE-2024-47908
