Multiples vulnérabilités dans Ivanti

Date de publication :

CVE-2022-35254 et CVE-2022-35258[Score CVSS v3.1: 7.5]
Deux vulnérabilités dans le produit Ivanti Connect Secure permettent à un attaquant non authentifié, en envoyant des requêtes spécifiquement forgées, de provoquer un déni de service.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Déni de service

Criticité

  • Score CVSS v3.1: 7.5

La faille est activement exploitée

  • Non, pour l’ensemble des CVE présentées.

Un correctif existe

  • Oui, pour l’ensemble des CVE présentées.

Une mesure de contournement existe

  • Non, pour l’ensemble des CVE présentées.

La vulnérabilité exploitée est du type

  • Pour l’ensemble des CVE présentées

En cours de Recherche

Détails sur l’exploitation

Pour l’ensemble des vulnérabilités présentées

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Aucun.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

Pour l’ensemble des CVE présentées

  • Ivanti Policy Secure versions 9.1R16, 22.2R1 et antérieures
  • Ivanti Neurons for Zero- Trust Gateway versions 22.2R1 et antérieures
  • Ivanti Connect Secure versions antérieures à 9.1R14.3 (LTS), 9.1R15.2, 9.1R16.2 et 22.2R4

Solutions ou recommandations

Pour Ivanti Connect Secure (ICS), mettre à jour vers les versions :

•    9.1R14.3 (LTS)
•    9.1R15.2
•    9.1R16.2
•    22.2R4   

Pour Ivanti Policy Secure (IPS), mettre à jour vers les versions 9.1R17 ou 22.3R1.

Pour Ivanti Neurons for Zero-Trust Gateway, mettre à jour vers la version 22.3R1.

Liens