Ny kritisk sårbarhed i Ivantis CSA

Ivanti har frigivet en ny patch til Cloud Services Appliance (CSA), der adresserer en "Path Traversal" sårbarhed i CSA.

Det skriver Security Affairs og Bleeping Computer på baggrund af en advisory fra Ivanti.

Sårbarheden har id’et CVE-2024-8963 og CVSS-score på 9,4.

De påvirkede versioner er CSA 4.6 (alle versioner før Patch 519). 

Der er tale om en "injection"-fejl, som gør det muligt for uautoriserede fjernangribere at få adgang til begrænset funktionalitet på sårbare CSA-systemer. Bleeping Computer melder, at angribere bruger udnyttelser, der kæder CVE-2024-8963 sammen med CVE-2024-8190 til at omgå administratorgodkendelse og afvikle vilkårlige kommandoer på upatchede apparater.

CVE-2024-8190 er blevet rettet for nyligt, men også markeret som værende under udnyttelse.

Ivantis CSA version 4,6 modtager fra dette patch ikke længere opdateringer, hvorfor det anbefales at opgradere Cloud Service Appliance 5,0.