Múltiples vulnerabilidades en productos Ivanti
- Ivanti Connect Secure (ICS): versiones 22.7R2.5 y anteriores;
- Ivanti Policy Secure (IPS): versiones 22.7R1.2 y anteriores;
- Ivanti Secure Access Client (ISAC): versiones 22.7R4 y anteriores.
Ivanti ha publicado en su boletín de seguridad de febrero de 2025 un aviso que recoge un total de 8 vulnerabilidades, siendo 3 de severidad crítica, una alta y 4 medias. La explotación de estas vulnerabilidades podría permitir a un atacante autenticado de forma remota leer y escribir ficheros de forma arbitraria, ejecutar código de forma remota y obtener privilegios de administrador. Asimismo, un atacante local no autenticado podría leer datos sensibles y borrar ficheros arbitrarios.
Actualizar a las últimas versiones:
- Ivanti Connect Secure (ICS): versiones 22.7R2.6;
- Ivanti Policy Secure (IPS): versiones 22.7R1.3;
- Ivanti Secure Access Client (ISAC): versiones 22.8R1.
Las vulnerabilidades críticas se describen a continuación:
- Para los productos Ivanti Connect Secure (ICS) en versiones 22.7R2.6 o anteriores e Ivanti Policy Secure (IPS) en versiones 22.7R1.3 o anteriores, el control externo de un nombre de fichero permite a un atacante autenticado en remoto con privilegios de administrador escribir archivos de forma arbitraria. Se ha asignado el identificador CVE-2024-38657 para esta vulnerabilidad.
- El producto Ivanti Connect Secure (ICS) en versiones 22.7R2.6 o anteriores, tiene una vulnerabilidad de desbordamiento de búfer basado en pila que permite a un atacante autenticado en remoto ejecutar código de forma remota. Se ha asignado el identificador CVE-2025-22467 para esta vulnerabilidad.
- Los productos Ivanti Connect Secure (ICS) en versiones 22.7R2.6 o anteriores e Ivanti Policy Secure (IPS) en versiones 22.7R1.3 o anteriores, son vulnerables a una inyección de código que permiten a un atacante autenticado en remoto con privilegios de administrador ejecutar código de forma remota.
El resto de vulnerabilidades y sus CVE asociados pueden consultarse en las referencias.
Fuente: link
Aviso: Esta noticia / aviso es únicamente informativa y su veracidad está supeditada a la fuente origen.
TechConsulting muestra este contenido por creer en su fuente y como servicio para facilitar a usuarios y empresas la obtención de dicho contenido. Agradecemos a la fuente el esfuerzo por distribuir este tipo de noticias y avisos sobre Ciberseguridad.
Para más información o dudas en Ciberseguridad aplicada a la empresa, puede ver nuestro catálogo de productos en Servicios TechConsulting o puede contactar con nosotros para resolver cualquier cuestión que pueda tener.