Wichtige Sicherheitsupdates für Ivanti Connect Secure (ICS), Policy Secure (IPS) und Secure Access Client (ISAC)

Ivanti hat wichtige Sicherheitsupdates für Ivanti Connect Secure (ICS), Policy Secure (IPS) und Secure Access Client (ISAC) veröffentlicht, die mehrere Schwachstellen schließen. Diese Sicherheitslücken, die von mittelschwer bis kritisch reichen, betreffen verschiedene Angriffsvektoren und könnten u.a. zur Privilegieneskalation, Denial-of-Service (DoS) und Remotecodeausführung (RCE) führen. Aktuell sind keine Fälle bekannt, in denen Kunden betroffen waren.

Die wichtigsten Schwachstellen umfassen u.a.:

  • CVE-2024-47905: Ein stackbasiertes Pufferüberlaufproblem in ICS und IPS (bis Version 22.7R2.3), das es einem authentifizierten Angreifer mit Admin-Rechten ermöglicht, ein DoS herbeizuführen (CVSS 4.9, CWE-121).
  • CVE-2024-38655, CVE-2024-38656, CVE-2024-38657: Kritische Argumentinjektions-Schwachstellen (CVSS 9.1) in ICS und IPS, die eine Remotecodeausführung durch einen Angreifer mit Admin-Rechten ermöglichen.
  • CVE-2024-9420: Eine Use-After-Free-Schwachstelle (CVSS 8.8, CWE-416) ermöglicht in ICS und IPS eine Remotecodeausführung durch einen authentifizierten Benutzer.
  • CVE-2024-38649: Ein Out-of-Bounds-Write-Fehler in der IPsec-Komponente von ICS (CVSS 7.5), der zu einem DoS führen kann.

Ivanti hat die Schwachstellen verantwortungsvoll im Rahmen ihres Offenlegungsprogramms veröffentlicht. Die Schwachstellen betreffen nicht ältere Versionen wie 9.x, da diese nur noch im Ausnahmefall Backports erhalten.

Ivanti empfiehlt allen betroffenen Kunden dringend, auf die neueste Version zu aktualisieren:

  • Ivanti Connect Secure: Version 22.7R2.3
  • Ivanti Policy Secure: Version 22.7R1.2
  • Ivanti Secure Access Client: Version 22.7R4

Die Updates stehen über das Ivanti-Portal zur Verfügung und schließen die genannten Sicherheitslücken. Für Nutzer älterer Versionen, die bald das Ende des Supports erreichen, wird ein Upgrade empfohlen, um den Sicherheitsstandard zu gewährleisten.

Tags :

Related Posts

Dresden: IT Mitarbeiter kopiert Daten von 430.000 Bürgern auf Privatgeräte

Am 8. November 2024 gab die Landeshauptstadt Dresden bekannt, dass der Eigenbetrieb IT-Dienstleistungen wegen eines möglichen Verstoßes gegen das Sächsische Datenschutzdurchführungsgesetz Ermittlungen unterstützt. Ein Mitarbeiter wird verdächtigt, unbefugt das Wahlbenachrichtigungsverzeichnis der Stadt Dresden auf einem privaten Speichermedium gespeichert zu haben. Dieses Verzeichnis umfasst sensible Daten aller wahlberechtigten Dresdner Bürger, darunter Namen, Adressen und Geburtsdaten.

Read More

Sicherheitslücke in Veeam Backup Enterprise Manager (CVE-2024-40715)

Am 6. November 2024 wurde eine schwerwiegende Sicherheitslücke (CVE-2024-40715) in Veeam Backup Enterprise Manager veröffentlicht, die es Angreifern ermöglicht, die Authentifizierung durch Man-in-the-Middle-Angriffe zu umgehen. Betroffen sind Veeam Backup & Replication Versionen 10 bis 12.2. Die Schwachstelle, gemeldet von ZDI über Hacker One, erhielt eine CVSS v3.1 Bewertung von 7,7 (hoch).

Read More

Mehrere Schwachstellen im Mazda In-Vehicle-Infotainmentsystem entdeckt

Am 7. November 2024 meldete Sicherheitsforscher Dmitry Janushkevich, dass mehrere kritische Schwachstellen im Mazda Connect Connectivity Master Unit (CMU) System entdeckt wurden, das in Mazda-Fahrzeugmodellen von 2014 bis 2021 verbaut ist. Diese Schwachstellen, die durch unzureichende Validierung von Eingaben verursacht werden, ermöglichen es Angreifern mit physischem Zugriff, über manipulierte USB-Geräte wie iPods oder Massenspeichergeräte beliebigen Code mit Root-Rechten auszuführen.

Read More