جزئیات آسیب‌پذیری

CVE-2024-38656

Ivanti Connect SecureIvanti Policy SecureIvanti automation

CVSS 3.0

9.1بحرانی

شرح رسمی (انگلیسی)

Argument injection in Ivanti Connect Secure before version 22.7R2.2 and 9.1R18.9 and Ivanti Policy Secure before version 22.7R1.2 allows a remote authenticated attacker with admin privileges to achieve remote code execution.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
9.1بحرانی	3.1	CISA ADP / Vulnrichment (CISA-ADP)	`CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H`
9.1بحرانی	3.0	CVEProject cvelistV5 (CNA) (hackerone)	`CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
Ivanti	Connect Secure	v < 22.7R2.2	CISA ADP / Vulnrichment
Ivanti	Connect Secure	v < 9.1R18.9	CISA ADP / Vulnrichment
Ivanti	Connect Secure	22.7R2.2 ≤ v < 22.7R2.2	CVEProject cvelistV5 (CNA)
Ivanti	Connect Secure	9.1R18.9 ≤ v < 9.1R18.9	CVEProject cvelistV5 (CNA)
Ivanti	Policy Secure	22.7R1.2 ≤ v < 22.7R1.2	CVEProject cvelistV5 (CNA)
Ivanti	automation	v < 22.7R1.2	CISA ADP / Vulnrichment

منابع و راهنماها

https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-ICS-Ivanti-Policy-Secure-IPS-Ivanti-Secure-Access-Client-ISAC-Multiple-CVEs

هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار: ۱۴۰۳/۰۸/۲۳
آخرین به‌روزرسانی: ۱۴۰۳/۰۹/۱۱
وضعیت: منتشرشده
صادرکننده (CNA): hackerone

پیش‌بینی بهره‌برداری (EPSS)

۱٫۷۳٪

احتمال بهره‌برداری در ۳۰ روز

۷۷٫۷٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی: خیر
وضعیت بهره‌برداری: ندارد
اثر فنی: کامل

ضعف‌ها (CWE)

CWE-88
Improper Neutralization of Argument Delimiters in a Command ('Argument Injection')