CVE-2024-11773

SQL injection w konsoli administracyjnej Ivanti CSA — zdalne wykonanie zapytań SQL

CVSS 9.1v3.1pub. 2024-12-10upd. 2025-01-17

Podatność SQL injection w panelu administracyjnym Ivanti Cloud Services Appliance (CSA) przed wersją 5.0.3 umożliwia uwierzytelnionemu atakującemu z uprawnieniami administratora wykonanie dowolnych zapytań SQL. Pomimo wymogu posiadania konta administratora, ocena CVSS 9.1 (CRITICAL) wynika z pełnego zakresu potencjalnych skutków — kompromitacji poufności, integralności i dostępności danych.

▸ Pokaż oryginał (EN)

SQL injection in the admin web console of Ivanti CSA before version 5.0.3 allows a remote authenticated attacker with admin privileges to run arbitrary SQL statements.

🤖 Analiza AI

Jak działa

Atakujący z dostępem do konsoli administracyjnej może wstrzyknąć złośliwy kod SQL do podatnych pól interfejsu webowego. Aplikacja nie filtruje prawidłowo danych wejściowych przed przekazaniem ich do silnika bazy danych, co pozwala na konstruowanie i wykonywanie arbitralnych zapytań SQL. Dzięki temu możliwe jest odczytywanie, modyfikowanie lub usuwanie danych przechowywanych w bazie, a potencjalnie również wykonywanie operacji systemowych zależnych od konfiguracji serwera bazy danych.

Skutki

Atakujący może odczytywać, modyfikować lub usuwać dowolne dane w bazie danych aplikacji, co prowadzi do pełnej kompromitacji poufności i integralności systemu. W zależności od konfiguracji środowiska możliwe jest również zakłócenie dostępności usługi.

Mitygacja

Należy zaktualizować Ivanti Cloud Services Appliance do wersji 5.0.3 lub nowszej zgodnie z zaleceniami producenta opublikowanymi w security advisory Ivanti.