Ivanti Connect Secure (ICS), eskiden bilinen adıyla Pulse Connect Secure ve Ivanti Policy Secure ağ geçitlerinde güvenlik açıkları keşfedilmiştir. Bu güvenlik açıkları, desteklenen tüm sürümleri etkilemektedir - Sürüm 9.x ve 22.x (desteklenen sürümler için Detaylı Yazılım Sürümü EOL Zaman Çizelgeleri ve Destek Matrisine bakınız).
Desteklenen sürümler için güvenlik açıklarını çözmek için Pulse Secure'ın hangi sürümleri kullanacağını görmek için KB43892'ye başvurun - Mühendislik Sonu (EOE) ve Yaşam Sonu (EOL) politikalarımız için hangi sürümleri Pulse Secure'ın düzeltmeleri uygulayacağını gösterir.
Eğer CVE-2024-21887, CVE-2023-46805 ile birlikte kullanılıyorsa, sömürü kimlik doğrulaması gerektirmez ve bir tehdit aktörüne kötü niyetli istekler oluşturma ve sistemde keyfi komutlar çalıştırma imkanı sağlar.
Aşağıdaki tablo, güvenlik açıklarının detaylarını sağlamaktadır:
| CVE | Description | CVSS | Vector |
| CVE-2023-46805 | An authentication bypass vulnerability in the web component of Ivanti ICS 9.x, 22.x and Ivanti Policy Secure allows a remote attacker to access restricted resources by bypassing control checks. | 8.2 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N |
| CVE-2024-21887 | A command injection vulnerability in web components of Ivanti Connect Secure (9.x, 22.x) and Ivanti Policy Secure allows an authenticated administrator to send specially crafted requests and execute arbitrary commands on the appliance. | 9.1 | AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
Ivanti Neurons for ZTA ağ geçitleri üretimdeyken sömürülemez. Bu çözüm için bir ağ geçidi oluşturulur ve bir ZTA denetleyicisine bağlanmazsa, oluşturulan ağ geçidinin sömürülme riski vardır. Ivanti Neurons for Secure Access bu CVE'lere karşı savunmasız değildir; ancak yönetilen ağ geçitleri bağımsız olarak bu CVE'lere karşı savunmasızdır.
Zafiyetin öğrenilmesinden hemen sonra, hemen kaynakları harekete geçirdik ve yam şu anda standart İndirme Portalı aracılığıyla kullanılabilir durumda (Ivanti Connect Secure sürümleri için 9.1R18.4, 9.1R17.3, 9.1R16.3, 9.1R15.3, 9.1R14.5, 22.6R2.2, 22.5R2.3, 22.5R1.2, 22.4R2.3, 22.4R1.1, 22.3R1.1, 22.2R4.1, 22.1R6.1), Ivanti Policy Secure sürümü için (9.1R18.4, 22.5R1.2, 9.1R17.3, 9.1R16.3, 22.4R1.1, 22.6R1.1) ve ZTA sürümü için (22.5R1.6, 22.6R1.5).
Zafiyetin öğrenilmesinden hemen sonra, hemen kaynakları harekete geçirdik ve yam şu anda standart İndirme Portalı aracılığıyla kullanılabilir durumda (Ivanti Connect Secure sürümleri için 9.1R18.4, 9.1R17.3, 9.1R16.3, 9.1R15.3, 9.1R14.5, 22.6R2.2, 22.5R2.3, 22.5R1.2, 22.4R2.3, 22.4R1.1, 22.3R1.1, 22.2R4.1, 22.1R6.1), Ivanti Policy Secure sürümü için (9.1R18.4, 22.5R1.2, 9.1R17.3, 9.1R16.3, 22.4R1.1, 22.6R1.1) ve ZTA sürümü için (22.5R1.6, 22.6R1.5).