Angreifer können auf Ivanti Connect Secure, Policy Secure und ZTA Gateway zugreifen, ohne sich anmelden zu müssen.
Sicherheitslücken gibt es bei der SSL-VPN-Lösung Connect Secure, Network Access Control Policy Secure und dem ZTA Gateway. Die Entwickler haben das Sicherheitsproblem in aktuellen Ausgaben behoben.
Die Sicherheitslücke (CVE-2024-22024) wurde mit dem Bedrohungsgrad “hoch” eingestuft. Gelingt Angreifern das ansetzten an der SAML-Komponente, sind sie in der Lage, eine XML-External-Entity-Attacke (XXE) auszuführen. Der Zugang zu den eigentlich gesperrten Ressourcen ist daraufhin ohne Anmeldung möglich.
Folgende abgesicherte Versionen stehen zum Update bereit:
- Connect Secure 9.1R14.5, 9.1R17.3, 9.1R18.4, 22.4R2.3, 22.5R1.2, 22.5R2.3 und 22.6R2.2
- Policy Secure 9.1R17.3, 9.1R18.4 und 22.5R1.2
- ZTA Gateway 22.5R1.6, 22.6R1.5 und 22.6R1.7
Benutzern wird dringend geraten zu überprüfen, ob die abgesicherte Versionen installiert sind.