CVE-2024-38653
80Vexday Risk Score
Corrija agora. Ela exploração observada pelo VulnCheck e tem exploit funcional público.
ssvc Actcvss 8.2epss 92%
da publicação à arma
Publicada no NVD14 de ago.
VulnCheck+120d
probabilidade de exploração
92%top 1% das CVEs
exploração observada
simVulnCheck
Em resumo
Uma falha no Ivanti Avalanche 6.3.1 permite que atacantes leiam qualquer arquivo do servidor enviando requisições XML malformadas, sem precisar fazer login. Isso pode expor dados sensíveis como arquivos de configuração ou credenciais.
Detalhe técnico
Vulnerabilidade de injeção XXE (XML External Entity) no componente SmartDeviceServer permite a atacantes remotos não autenticados ler arquivos arbitrários através de payloads XML maliciosos. A exploração requer acesso à rede do endpoint afetado e sem autenticação; o sucesso resulta em divulgação de informações sensíveis dos arquivos do servidor.
Resumo gerado e traduzido por IA a partir da descrição oficial.
XXE in SmartDeviceServer in Ivanti Avalanche 6.3.1 allows a remote unauthenticated attacker to read arbitrary files on the server.
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L
Produtos afetados
Ivanti · Avalanche