Ivanti：注意这个CVSS 满分的认证绕过漏洞

该漏洞由 CrowdStrike 公司的高级研究团队发现，可导致远程攻击者通过一个可选路径或信道绕过认证，无需身份验证或用户交互，在运行 Ivanti CSA 5.0.2或更早版本的易受攻击设备上，获得管理员权限。

Ivanti 公司建议管理员查看支持文档中的详细信息，将易受攻击设备升级至 CSA 5.0.3。该公司表示，“我们并未看到在公开披露前，这些漏洞遭利用的情况。这些漏洞是通过我们负责任的披露计划披露的。目前，并未发现漏洞遭公开利用的情况，因此无法提供妥协指标。“

Ivanti 公司还修复了位于 Desktop and Server Management (DSM)、Connect Secure and Policy Secure、Sentry 以及 Patch SDK 产品中的中危、高危和严重级别的漏洞。然而，正如该公司在安全公告中提到的那样，目前尚未看到这些漏洞遭在野利用的整局。

CVE-2024-11639是Ivanti 公司在近几个月来修复的第六个CSA漏洞，其余五个如下：

9月，Ivanti 公司还提醒称，CVE-2024-8190和CVE-2024-8963已遭利用。另外，该公司还提醒管理员称，10月修复的这三个漏洞与CVE-2024-8963组合利用，通过SQL注入运行SQL语句、绕过安全限制并通过命令注入来执行任意代码。

而这些漏洞遭利用之时，Ivanti 公司表示已升级测试和内部扫描能力，且正在改进其负责任披露流程以更快修复安全漏洞。今年早些时候，Ivanti VPN 设备和ICS、IPS以及ZTA网关中的0day漏洞遭大规模利用。Ivanti 公司向超过4万名客户提供系统和IT资产管理服务。