CVE-2024-38653

CVSS 8.2 HIGHEPSS 92.0%CWE-611

Em resumo

Uma falha no Ivanti Avalanche 6.3.1 permite que atacantes leiam qualquer arquivo do servidor enviando requisições XML malformadas, sem precisar fazer login. Isso pode expor dados sensíveis como arquivos de configuração ou credenciais.

Detalhe técnico

Vulnerabilidade de injeção XXE (XML External Entity) no componente SmartDeviceServer permite a atacantes remotos não autenticados ler arquivos arbitrários através de payloads XML maliciosos. A exploração requer acesso à rede do endpoint afetado e sem autenticação; o sucesso resulta em divulgação de informações sensíveis dos arquivos do servidor.

Resumo gerado e traduzido por IA a partir da descrição oficial.

XXE in SmartDeviceServer in Ivanti Avalanche 6.3.1 allows a remote unauthenticated attacker to read arbitrary files on the server.

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L

Produtos afetados

Ivanti · Avalanche

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →

Referências

https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Avalanche-6-4-4-CVE-2024-38652-CVE-2024-38653-CVE-2024-36136-CVE-2024-37399-CVE-2024-37373