A Ivanti lançou patches para sete vulnerabilidades críticas e de alta gravidade no Avalanche, sua solução corporativa de gerenciamento de dispositivos móveis (MDM).
A mais grave das falhas é CVE-2023-32563 (pontuação CVSS de 9,8), um bug de travessia de diretório que pode ser explorado para executar código arbitrário remotamente.
Relatado por pesquisadores de segurança com ZDI da Trend Micro, o problema existe no método ‘updateSkin’ da solução MDM e pode ser explorado sem autenticação.
“O problema resulta da falta de validação adequada de um caminho fornecido pelo usuário antes de usá-lo em operações de arquivo. Um invasor pode aproveitar essa vulnerabilidade para executar código no contexto do sistema”, assessoria da ZDI lê.
A última iteração do Avalanche também resolve vários bugs de estouro de buffer baseados em pilha que são rastreados coletivamente como CVE-2023-32560 (pontuação CVSS de 8,8).
A vulnerabilidade reside no Wavelink Avalanche Manager, que usa um buffer baseado em pilha de tamanho fixo ao processar certos tipos de dados, explicou Tenablecujos pesquisadores descobriram o problema.
Um invasor remoto não autenticado pode acionar a vulnerabilidade enviando uma mensagem criada para o serviço, o que pode levar à interrupção do serviço ou à execução do código.
Duas outras vulnerabilidades de execução remota de código de alta gravidade foram corrigidas com a versão mais recente do Avalanche, ambas descobertas e relatadas por meio do ZDI.
As falhas, CVE-2023-32562 e CVE-2023-32564, são o resultado de uma “falta de validação adequada dos dados fornecidos pelo usuário”, permitindo que um invasor carregue arquivos arbitrários e potencialmente execute código com privilégios do sistema.
Todas as três vulnerabilidades restantes – CVE-2023-32561, CVE-2023-32565 e CVE-2023-32566 – são descritas como falhas de desvio de autenticação em vários componentes da solução MDM.
Ivanti corrigiu todas as sete vulnerabilidades no Avalanche, que foi lançado no início deste mês. Tanto a Tenable quanto a ZDI, no entanto, divulgaram detalhes sobre essas vulnerabilidades apenas esta semana.
Embora não haja menção de qualquer um desses problemas sendo explorados na natureza, sabe-se que as vulnerabilidades nos produtos Ivanti foram alvo de ataques maliciosos.