PT-2021-5375 · Ivanti · Ivanti Avalanche

Publicado 2021-09-22 · Atualizado 2021-12-08 · CVE-2021-42130

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do Ivanti Avalanche anteriores à 6.3.3

Descrição

Existe uma vulnerabilidade relacionada à deserialização de dados não confiáveis, permitindo que um invasor com acesso ao Inforail Service execute código arbitrário ao enviar dados especialmente criados para esse fim. Essa vulnerabilidade pode ser explorada remotamente.

Recomendações

Para versões anteriores à 6.3.3, atualize para a versão 6.3.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao Serviço Inforail para minimizar o risco de exploração.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

BDU:2021-06210

CVE-2021-42130

ZDI-21-1326

Produtos afetados

Ivanti Avalanche

Referências · 11

• https://cybersecurity-help.cz/vdb/SB2021112207 · Nota
• https://securitylab.ru/vulnerability/526759.php · Nota
• https://t.me/cvenotify/24338 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-42130 · Aviso do Fabricante
• https://wavelink.com/Download-Avalanche_Mobile-Device-Management-Software · Nota
• https://safe-surf.ru/upload/VULN/VULN-20211124.9.pdf · Nota de Segurança
• https://bdu.fstec.ru/vul/2021-06210 · Nota de Segurança
• https://zerodayinitiative.com/advisories/ZDI-21-1326 · Nota de Segurança
• https://forums.ivanti.com/s/article/Security-Alert-CVE-s-Addressed-in-Avalanche-6-3-3 · Aviso do Fabricante
• https://t.me/cibsecurity/33445 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-42130 · Nota de Segurança