Kritične ranjivosti u Ivanti EPM
Dana 10. rujna 2024., tvrtka Ivanti je ispravila nekoliko kritičnih i visokorizičnih sigurnosnih ranjivosti u svom proizvodu Endpoint Manager (EPM). Preporučuje se žurno ažuriranje ranjivih sustava.
Tehnički detalji značajnih ranjivosti otklonjenih ovim ažuriranjem:
- Ranjivost s najvećom razinom rizika, CVE-2024-29847 (CVSS ocjena 10), rezultat je nepravilne validacije unosa, što može dovesti do deserijalizacije nepouzdanih podataka u agent portalu Ivanti EPM-a. Ova ranjivost omogućuje udaljenom, neautentificiranom napadaču udaljeno izvršavanje kôda (engl. remote code execution – RCE).
- Ranjivosti CVE-2024-32840, CVE-2024-32842, CVE-2024-32843, CVE-2024-32845, CVE-2024-32846, CVE-2024-32848 i CVE-2024-34779 (CVSS ocjena 9.1), su nedostaci SQL umetanja (engl. SQL Injection - SQLi) u Ivanti EPM-u. Ove ranjivosti omogućavaju udaljenom, autentificiranom napadaču s administratorskim ovlastima izvršavanje kôda na poslužitelju.
Zahvaćene su sljedeće verzije proizvoda:
- Ivanti Endpoint Manager (EPM) 2022 SU5 i starije verzije.
- Ivanti Endpoint Manager (EPM) 2024.
Preporuke:
Preporučuje se žurno ažuriranje ranjivih verzija proizvoda na najnovije dostupne ispravljene verzije.
Više informacija moguće je pročitati na poveznicama u nastavku:
- https://forums.ivanti.com/s/article/Security-Advisory-EPM-September-2024-for-EPM-2024-and-EPM-2022?language=en_US
- https://www.bleepingcomputer.com/news/security/ivanti-fixes-maximum-severity-rce-bug-in-endpoint-management-software/
[inicijalna objava: 12.9.2024 - 14:06]
Normativni akti
- Ustav Republike Hrvatske
- Strategija nacionalne sigurnosti
- Zakon o sustavu domovinske sigurnosti
- Zakon o sigurnosno-obavještajnom sustavu RH
- Zakon o tajnosti podataka
- Zakon o informacijskoj sigurnosti
- Uredba o mjerama informacijske sigurnosti
- Nacionalna strategija kibernetičke sigurnosti i Akcijski plan za provedbu Nacionalne strategije kibernetičke sigurnosti
- Zakon o provedbi Uredbe (EU) 2019/881 Europskog parlamenta i Vijeća od 17. travnja 2019. (Zakon o provedbi kibernetičke sigurnosne certifikacije)
- Zakon o kibernetičkoj sigurnosti
- Odluka o provedbi Odluke br. 1104/2011/EU Europskog parlamenta i Vijeća od 25. listopada 2011. o pravilima za pristup javno reguliranoj usluzi koju pruža globalni navigacijski satelitski sustav uspostavljen u sklopu programa Galileo
- Smjernice za postupanje s neklasificiranim podacima