CERTFR-2023-AVI-1010 : Multiples vulnérabilités dans les produits Ivanti (11 décembre 2023)

Risque(s)

• Exécution de code arbitraire à distance
• Déni de service à distance
• Atteinte à la confidentialité des données
• Élévation de privilèges

Systèmes affectés

• Ivanti Connect Secure versions antérieures à 22.6R2.1
• Ivanti Connect Secure versions antérieures à 9.1R18x (possiblement disponible en janvier 2024)
• Ivanti Policy Secure versions antérieures à 22.6R1
  
• Ivanti Policy Secure versions antérieures à 9.1R18x (possiblement disponible en janvier 2024)

Résumé

De multiples vulnérabilités ont été découvertes dans les produits Ivanti. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à la confidentialité des données.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité Ivanti du 04 décembre 2023
  https://forums.ivanti.com/s/article/Security-fix-release-Ivanti-Connect-Secure-22-6R2-and-22-6R2-1
• Bulletin de sécurité Ivanti du 04 décembre 2023
  https://forums.ivanti.com/s/article/Security-patch-release-Ivanti-Policy-Secure-22-6R1
• Référence CVE CVE-2023-39340
  https://www.cve.org/CVERecord?id=CVE-2023-39340
• Référence CVE CVE-2023-41719
  https://www.cve.org/CVERecord?id=CVE-2023-41719
• Référence CVE CVE-2023-41720
  https://www.cve.org/CVERecord?id=CVE-2023-41720
• Référence CVE CVE-2023-39339
  https://www.cve.org/CVERecord?id=CVE-2023-39339