Kritične ranjivosti u Ivanti proizvodima
Dana 20. ožujka 2024., tvrtka Ivanti objavila je sigurnosno ažuriranje za dvije kritične ranjivosti koje zahvaćaju proizvode: Ivanti Standalone Sentry i Ivanti Neurons for ITSM.
Iako u trenutku pisanja ove objave nije zabilježeno aktivno iskorištavanje, preporučuje se žurno ažuriranje ranjivih proizvoda.
Tehnički detalji značajnih ranjivosti otklonjenih ovim ažuriranjem:
- Ranjivost CVE-2023-41724 (CVSS ocjena 9.6), zahvaća Ivanti Standalone Sentry sigurnosno rješenje i može omogućiti neovlaštenom napadaču unutar iste fizičke ili logičke mreže da izvršava proizvoljne naredbe na temeljnom operativnom sustavu uređaja.
- Ranjivost CVE-2023-46808 (CVSS ocjena 9.9), zahvaća Ivanti Neurons for ITSM platformu i omogućuje ovlaštenom udaljenom korisniku proizvoljno zapisivanje u osjetljivim direktorijima što može omogućiti izvršavanje naredbi u kontekstu korisnika web aplikacije.
Zahvaćeni proizvodi:
- Ranjivost CVE-2023-41724 zahvaća sve podržane verzije Ivanti Standalone Sentry (9.17.0, 9.18.0 i 9.19.0). Također su ranjive starije verzije.
- Ranjivost CVE-2023-46808 zahvaća sve podržane verzije Ivanti Neurons for ITSM (2023.3, 2023.2 i 2023.1). Također su ranjive nepodržane verzije.
Potpuni popis zahvaćenih i ispravljenih verzija se može pronaći u službenom sigurnosnom upozorenju proizvođača.
Preporuke:
Preporučuje se žurna nadogradnja ranjivih Ivanti proizvoda na najnoviju dostupnu inačicu slijedeći službene upute proizvođača.
Više informacija moguće je pročitati na poveznicama u nastavku:
- https://forums.ivanti.com/s/article/CVE-2023-41724-Remote-Code-Execution-for-Ivanti-Standalone-Sentry?language=en_US
- https://forums.ivanti.com/s/article/SA-CVE-2023-46808-Authenticated-Remote-File-Write-for-Ivanti-Neurons-for-ITSM?language=en_US
[inicijalna objava: 21.3.2024 - 13:57]
Normativni akti
- Ustav Republike Hrvatske
- Strategija nacionalne sigurnosti
- Zakon o sustavu domovinske sigurnosti
- Zakon o sigurnosno-obavještajnom sustavu RH
- Zakon o tajnosti podataka
- Zakon o informacijskoj sigurnosti
- Uredba o mjerama informacijske sigurnosti
- Nacionalna strategija kibernetičke sigurnosti i Akcijski plan za provedbu Nacionalne strategije kibernetičke sigurnosti
- Zakon o kibernetičkoj sigurnosti operatora ključnih usluga i davatelja digitalnih usluga
- Uredba o kibernetičkoj sigurnosti operatora ključnih usluga i davatelja digitalnih usluga
- Smjernice za postupanje s neklasificiranim podacima
- Pravilnik o standardima sigurnosti neklasificiranih informacijskih sustava