Ivanti 修复CVE-2023-38035严重 Sentry API 身份验证绕过缺陷

Ivanti 向客户发出了一个名为CVE-2023-38035的新的关键 Sentry API 身份验证绕过漏洞的警告。

软件公司 Ivanti 发布了紧急安全补丁，以解决Ivanti Sentry（以前称为 MobileIron Sentry）产品中的一个严重漏洞，编号为CVE-2023-38035 （CVSS 评分 9.8）。

该漏洞可被利用来访问敏感的 API 数据和配置、运行系统命令或将文件写入系统。漏洞 CVE-2023-38035 影响 Sentry 版本 9.18 及更早版本。

“如果被利用，未经身份验证的攻击者可以访问一些敏感 API，这些 API 用于在管理员门户（端口 8443，通常为 MICS）上配置 Ivanti Sentry。虽然该问题的 CVSS 评分很高，但对于不向互联网公开端口 8443 的客户来说，被利用的风险较低。” ” 成功利用该漏洞可用于更改配置、运行系统命令或将文件写入系统。Ivanti 建议客户将对 MICS 的访问限制在内部管理网络中，并且不要将其暴露在互联网上。”

该公司意识到受此漏洞影响的客户数量有限

该公司指出，不向互联网公开端口 8443 的客户被利用的风险较低。

Ivanti 建议客户将对 MICS 的访问限制为内部管理网络，并避免将其暴露于互联网。

Ivanti Endpoint Manager Mobile (EPMM) 软件（以前称为 MobileIron Core）中的其他问题（编号为CVE-2023-35078和CVE-2023-35081）自 4 月份以来就被民族国家行为者积极利用。

零日漏洞 CVE-2023-35078 在最近针对 挪威政府 12 个部委使用的 ICT 平台的攻击中被威胁行为者利用。

本文来源于Lonely Blog -全球网络安全资讯平台, 转载请注明出处： https://blog.wuhao13.xin/7815.html