Ahmed Y. Elmogy

Nome do software vulnerável e versões afetadas: Dell Wyse Management Suite, versões WMS 4.4 e anteriores Descrição: O problema está relacionado à ausência de um procedimento de autorização na solução de nuvem híbrida para gerenciamento de thin clients. Isso poderia permitir que um invasor remoto causasse uma negação de serviço e apagasse arquivos arbitrários. Um invasor com privilégios elevados e acesso remoto poderia potencialmente explorar essa vulnerabilidade, levando a uma interrupção significativa do sistema. Recomendações: Para as versões WMS 4.4 e anteriores, considere restringir o acesso remoto para minimizar o risco de exploração até que uma correção esteja disponível. Como solução alternativa temporária, limite os privilégios dos usuários remotos para reduzir o impacto potencial do problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Ivanti Avalanche (Premise) versão 6.3.2 **Descrição** A vulnerabilidade permite que usuários remotos não autenticados leiam arquivos arbitrários por meio de Absolute Path Traversal. Isso ocorre porque o parâmetro `imageFilePath` não é verificado para garantir que esteja dentro do escopo da pasta de imagens quando processado pelo endpoint “/AvalancheWeb/image”. Um invasor pode obter informações confidenciais explorando essa vulnerabilidade, por exemplo, acessando o arquivo “C:/Windows/system32/config/system.sav”. **Recomendações** Para o Ivanti Avalanche (Premise) versão 6.3.2, como solução alternativa temporária, considere restringir o acesso ao endpoint “/AvalancheWeb/image” para minimizar o risco de exploração. Além disso, evite usar o parâmetro `imageFilePath` neste endpoint até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.