CVE-2024-29847
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
Podatność deserializacji niezaufanych danych w portalu agenta Ivanti EPM przed wersją 2022 SU6 lub aktualizacją z września 2024. Umożliwia zdalnemu nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu.
Ocena ryzyka
Atakujący bez uwierzytelnienia może przejąć kontrolę nad systemem, co prowadzi do pełnego naruszenia poufności, integralności i dostępności.
Rekomendacja
Zaktualizuj Ivanti EPM do wersji 2022 SU6 lub nowszej (w tym aktualizacja z września 2024) i ogranicz dostęp do portalu agenta.
Inne podatności w Ivanti EPM
Zobacz wszystkie- CVE-2024-13161KrytyczneAktywnie exploitowane
Podatność typu absolute path traversal w Ivanti EPM przed aktualizacją bezpieczeństwa ze stycznia 2025 (dla wersji 2024 i 2022 SU6) pozwala zdalnemu nieuwierzytelnionemu atakującemu na wyciek poufnych informacji.
- CVE-2024-13160KrytyczneAktywnie exploitowane
Podatność typu absolute path traversal w Ivanti EPM przed aktualizacją bezpieczeństwa ze stycznia 2025 (dla wersji 2024 i 2022 SU6) pozwala zdalnemu nieuwierzytelnionemu atakującemu na wyciek poufnych informacji.
- CVE-2024-13159KrytyczneAktywnie exploitowane
Podatność typu absolute path traversal w Ivanti EPM przed aktualizacją bezpieczeństwa ze stycznia 2025 (dla wersji 2024 i 2022 SU6) pozwala zdalnemu nieuwierzytelnionemu atakującemu na wyciek poufnych informacji.
- CVE-2024-29824WysokieAktywnie exploitowane
W serwerze Core w Ivanti EPM 2022 SU5 i wcześniejszych wersjach występuje nieokreślona podatność SQL Injection, która pozwala nieuwierzytelnionemu atakującemu w tej samej sieci na wykonanie dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
Deserialization of untrusted data in the agent portal of Ivanti EPM before 2022 SU6, or the 2024 September update allows a remote unauthenticated attacker to achieve remote code execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS