PT-2021-5240 · Ivanti · Ivanti Avalanche

Publicado 2021-09-22 · Atualizado 2021-12-08 · CVE-2021-42127

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do Ivanti Avalanche anteriores à 6.3.3

Descrição

O problema está relacionado a uma vulnerabilidade de deserialização de dados não confiáveis no serviço StatServer do Ivanti Avalanche. Essa vulnerabilidade pode ser explorada por um invasor remoto para executar código arbitrário através do envio de dados especialmente criados. A vulnerabilidade está associada ao serviço Inforail e pode ser explorada por meio do serviço Data Repository.

Recomendações

Para versões anteriores à 6.3.3, atualize para a versão 6.3.3 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao serviço Data Repository para minimizar o risco de exploração. Evite usar o serviço Inforail até que o problema seja resolvido.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

BDU:2021-06044

CVE-2021-42127

ZDI-21-1323

Produtos afetados

Ivanti Avalanche

Referências · 11

• https://bdu.fstec.ru/vul/2021-06044 · Nota de Segurança
• https://zerodayinitiative.com/advisories/ZDI-21-1323 · Nota de Segurança
• https://cybersecurity-help.cz/vdb/SB2021112207 · Nota
• https://t.me/cibsecurity/33441 · Publicação no Telegram
• https://t.me/cvenotify/24341 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-42127 · Aviso do Fabricante
• https://securitylab.ru/vulnerability/526759.php · Nota
• https://wavelink.com/Download-Avalanche_Mobile-Device-Management-Software · Nota
• https://safe-surf.ru/upload/VULN/VULN-20211124.9.pdf · Nota de Segurança
• https://forums.ivanti.com/s/article/Security-Alert-CVE-s-Addressed-in-Avalanche-6-3-3 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-42127 · Nota de Segurança