安全通告
Ivanti VPN遠(yuǎn)程代碼執(zhí)行
漏洞預(yù)警通報
發(fā)布日期：2024-01-17
?
漏洞描述
2024年1月12日公司監(jiān)測到Ivanti Connect Secure存在遠(yuǎn)程代碼執(zhí)行漏洞。Ivanti Connect Secure，原名Pulse Connect Secure，是一款企業(yè)級遠(yuǎn)程訪問解決方案。這個產(chǎn)品主要提供安全遠(yuǎn)程訪問（VPN），多因素認(rèn)證等功能。本次漏洞利用鏈包含兩個漏洞，分別為身份驗(yàn)證繞過和命令注入漏洞，利用該漏洞鏈允許遠(yuǎn)程未經(jīng)認(rèn)證的攻擊者以root權(quán)限執(zhí)行任意操作系統(tǒng)命令。
漏洞編號
（CVE-2023-46805）、CVE-2024-21887
漏洞危害
該漏洞鏈允許遠(yuǎn)程未經(jīng)認(rèn)證的攻擊者以root權(quán)限執(zhí)行任意操作系統(tǒng)命令。
漏洞等級
嚴(yán)重
影響范圍：
Version 9.x and 22.x
修復(fù)方案
目前該漏洞已在官方最新版本中進(jìn)行了更新修復(fù)，請相關(guān)用戶盡快升級到最新版本。
鏈接如下：
https://forums.ivanti.com/s/article/KB-CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
參考鏈接
https://forums.ivanti.com/s/article/KB-CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US