PT-2024-1727 · Ivanti · Ivanti Avalanche

Jbalanza · Publicado 2024-01-25 · Atualizado 2024-01-31 · CVE-2023-41474

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.8

Média

Vetor base

AV:N/AC:L/Au:S/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

Ivanti Avalanche versão 6.3.4.153

Descrição

O problema está relacionado a uma vulnerabilidade de traversal de diretório no componente javax.faces.resource, que pode ser explorada por um invasor remoto autenticado para obter informações confidenciais. Essa vulnerabilidade se deve a uma restrição incorreta do nome do caminho do diretório com acesso limitado.

Recomendações

Para o Ivanti Avalanche versão 6.3.4.153, no momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

BDU:2024-01433

CVE-2023-41474

Produtos afetados

Ivanti Avalanche

Referências · 9

• 🔥 https://github.com/JBalanza/CVE-2023-41474 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2023-41474 · Nota de Segurança
• https://twitter.com/CVEnew/status/1750607597156114922 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2023-41474 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2024-01433 · Nota de Segurança
• https://t.me/pentestingnews/43171 · Publicação no Telegram
• https://twitter.com/DiscoverPet/status/1752725149541912852 · Publicação no Twitter
• https://vuldb.com/?id.252067 · Nota
• https://twitter.com/fletch_ai/status/1752634610331324759 · Publicação no Twitter