Ivanti, şirketin Çığ Enterprise Mobil Cihaz Yönetimi (MDM) çözümünde 13 kritik güvenlik açıklığını gidermek için güvenlik güncellemeleri yayınladı.
Çığ, yöneticilerin internet üzerinden tek, merkezi bir konumdan 100.000'den fazla mobil cihazı yönetmesine, yazılım dağıtmasına ve güncellemeleri planlamasına olanak tanır.
Ivanti'nin Çarşamba günü açıkladığı gibi, bu güvenlik kusurları Wlavalancheservice yığını veya yığın tabanlı tampon taşma zayıflıklarından kaynaklanıyor ve Tenable Güvenlik Araştırmacıları ve Trend Micro'nun Sıfır Gün Girişimi tarafından bildirildi.
Kimliği doğrulanmamış saldırganlar, kullanıcı etkileşimi gerektirmeyen düşük karmaşık saldırılarda, takılmamış sistemlerde uzaktan kod yürütülmesi için kullanabilirler.
Ivanti, bir güvenlik danışmanında, "Mobil cihaz sunucusuna özel olarak hazırlanmış veri paketleri gönderen bir saldırgan, hizmet reddi (DOS) veya kod yürütülmesine neden olabilecek bellek yolsuzluğuna neden olabilir." Dedi.
"Güvenlik güvenlik açıklarını gidermek için [..], çığ yükleyicisini indirmeniz ve en son çığ 6.4.2'ye güncellenmeniz şiddetle tavsiye edilir. Bu güvenlik açıkları, ürünlerin tüm desteklenen sürümlerini etkiler - çığ sürümleri 6.3.1 ve üstü. Eski sürümler /sürümler de risk altında. "
Şirket ayrıca saldırganların hizmet reddedilebileceği, uzaktan kod yürütülmesi ve sunucu tarafı istek amorgrapi (SSRF) saldırılarından yararlanabileceği sekiz orta ve yüksek şiddetli hatayı yamaladı.
Bugün açıklanan tüm güvenlik açıkları Çığ v6.4.2.313'te ele alınmıştır. Çığ kurulumunuzu yükseltme hakkında ek bilgiler bu Ivanti destek makalesinde mevcuttur.
Ağustos ayında Ivanti, başarılı bir sömürü takiben çarpışmalara ve keyfi kod yürütülmesine yol açabilecek CVE-2023-32560 olarak toplu olarak izlenen iki kritik çığ tamponu taşma işlemini sabitledi.
Tehdit aktörleri, bir ay önce bir düzine Norveç bakanlıkının BT sistemlerine hacklemek için CVE-2023-35078 ile üçüncü bir MobileIron çekirdeği sıfır gününü (CVE-2023-35081) zincirledi.
Dört ay önce, Nisan ayında, devlete bağlı bilgisayar korsanları, Ivanti'nin uç noktası yöneticisi Mobile (EPMM), eski mobileen çekirdeğinde, birden fazla ağları sızdırmak için iki sıfır günlük kusur (CVE-2023-35078 ve CVE-2023-35081) kullandı. Norveç hükümet kuruluşları.
CISA, "Mobil cihaz yönetimi (MDM) sistemleri, binlerce mobil cihaza yüksek erişim sağladıkları ve APT aktörleri önceki bir mobil demir güvenlik açığından yararlandıkları için tehdit aktörleri için cazip hedeflerdir."
"Sonuç olarak, CISA ve NCSC-NO, hükümet ve özel sektör ağlarında yaygın sömürü potansiyeli konusunda endişe duyuyor."
Microsoft, Perforce Helix Core Server'daki kritik RCE kusurunu keşfeder
Bilgisayar korsanları, POC POC'yi kullanarak kritik Apache Struts kusurlarını kullanıyor
Sophos Backports RCE Desteklenmemiş Güvenlik Duvarlarına Saldırılardan Sonra Fix
WordPress, Web sitelerini açığa çıkaran pop zincirini RCE saldırılarına düzeltiyor
Yedekleme eklentisinde kritik hata tarafından RCE saldırılarına maruz kalan 50K WordPress siteleri
Kaynak: Bleeping Computer