Nhiều lỗi bảo mật nghiêm trọng được phát hiện trong Ivanti Avalanche, một giải pháp quản lý thiết bị di động dành cho doanh nghiệp được 30.000 tổ chức sử dụng.

Các lỗ hổng, được theo dõi chung là CVE-2023-32560 (điểm CVSS: 9,8), là lỗi tràn bộ đệm dựa trên ngăn xếp trong Ivanti Avalanche WLAvanacheServer.exe v6.4.0.0.

Công ty an ninh mạng Tenable cho biết những thiếu sót là kết quả của việc tràn bộ đệm phát sinh khi xử lý các loại dữ liệu cụ thể. Kẻ tấn công từ xa không xác thực có thể chỉ định một chuỗi hex dài hoặc item dài loại 9 để làm tràn bộ đệm. Khai thác thành công cả hai vấn đề, hacker có thể thực thi mã hoặc crash hệ thống.

Ivanti đã phát hành Avalanche phiên bản 6.4.1 để khắc phục sau khi vấn đề được tiết lộ vào tháng 4/2023. Bản cập nhật cũng vá 6 lỗ hổng khác (từ CVE-2023-32561 đến CVE-2023-32566) có thể mở đường cho việc bỏ qua xác thực và thực thi mã từ xa.

Người dùng cần nhanh chóng áp dụng các bản sửa lỗi để giảm thiểu nguy cơ tấn công.

Nguồn: The Hacker News