Ivanti ha emitido una alerta crítica a sus clientes sobre una nueva vulnerabilidad de seguridad que podría permitir a los atacantes eludir la autenticación en sus dispositivos de puerta de enlace Connect Secure, Policy Secure y ZTA. Este problema, identificado como CVE-2024-22024, posee una calificación de gravedad de 8,3 sobre 10 basada en el sistema de puntuación CVSS, subrayando la seriedad de la situación.
La vulnerabilidad es el resultado de una entidad externa XML o una vulnerabilidad XXE en el componente SAML de las versiones 9.x y 22.x de Ivanti Connect Secure y Policy Secure, así como las puertas de enlace ZTA. Esto permite que un atacante acceda a recursos restringidos sin la debida autenticación. Ivanti ha declarado en un comunicado que descubrió el problema durante una revisión interna habitual.
La compañía está en alerta debido al descubrimiento de varias otras vulnerabilidades de seguridad este año, incluyendo CVE-2023-46805, CVE-2024-21887, CVE-2024-21888 y CVE-2024-21893.
Las versiones afectadas de Ivanti Connect Secure incluyen:
- 9.1R14.4
- 9.1R17.2
- 9.1R18.3
- 22.4R2.2
- 22.5R1.1
Para la Política de Ivanti Secure, la versión afectada es 22.5R1.1, y para ZTA, es 22.6R1.3. Las correcciones para estas vulnerabilidades ya están disponibles en las nuevas versiones:
- Connect Secure: 9.1R14.5, 9.1R17.3, 9.1R18.4, 22.4R2.3, 22.5R1.2, 22.5R2.3 y 22.6R2.2
- Policy Secure: 9.1R17.3, 9.1R18.4 y 22.5R1.2
- ZTA: 22.5R1.6, 22.6R1.5 y 22.6R1.7
Aunque Ivanti asegura no haber encontrado evidencia de explotación activa de esta falla, la compañía insta a todos los usuarios a que apliquen las actualizaciones necesarias de inmediato. Dado el abuso observado en vulnerabilidades anteriores, es crucial que los clientes actúen rápidamente.
En conclusión, los clientes de Ivanti deben estar atentos a esta nueva vulnerabilidad y asegurarse de que sus sistemas estén actualizados para evitar cualquier posible riesgo de seguridad. La proactividad en la aplicación de parches y actualizaciones es esencial para la protección de los recursos y la información sensible.
