CVE-2024-37397
33Vexday Risk Score
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
ssvc Trackcvss 8.2epss 59%
probabilidade de exploração
59%top 1% das CVEs
exploração observada
nãonenhuma fonte reporta
Em resumo
Um serviço de provisionamento do Ivanti EPM processa arquivos XML de forma insegura, permitindo que atacantes roubem segredos de API do sistema sem fazer login.
Detalhe técnico
Uma vulnerabilidade XXE no serviço de provisionamento permite que atacantes não autenticados vazem segredos de API por meio de payloads XML maliciosos que referenciam entidades externas. As versões afetadas são anteriores à SU6 de 2022 ou anteriores à atualização de setembro de 2024; a exploração requer apenas acesso de rede ao endpoint de provisionamento.
Resumo gerado e traduzido por IA a partir da descrição oficial.
An External XML Entity (XXE) vulnerability in the provisioning web service of Ivanti EPM before 2022 SU6, or the 2024 September update allows a remote unauthenticated attacker to leak API secrets.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
Produtos afetados
Ivanti · EPM