【漏洞通告】Ivanti Cloud Service Appliance命令注入漏洞安全风险通告

近日，嘉诚安全监测到Ivanti Cloud Service Appliance命令注入漏洞，漏洞编号为：CVE-2024-8190。

Ivanti Cloud Service Appliance (CSA) 是Ivanti提供的一款本地部署的虚拟设备，旨在简化和增强Ivanti产品与云服务的集成。

鉴于漏洞危害较大，嘉诚安全提醒相关用户尽快更新至安全版本，避免引发漏洞相关的网络安全事件。

经研判，该漏洞为高危漏洞，PoC/EXP已公开，已发现被在野利用。该漏洞是由于后台未对传入的TIMEZONE参数做校验，而是直接传给exec()函数执行，从而导致拥有管理员权限的攻击者执行任意命令。

影响版本：

Ivanti Cloud Service Appliance <= 4.6 Patch 518

目前官方已有可更新版本，建议受影响用户升级至最新版本：

Ivanti Cloud Services Appliance >= 4.6 Patch 519

Ivanti Cloud Services Appliance >= 5.0

官方补丁下载地址：

Ivanti Cloud Services Appliance 4.6

https://forums.ivanti.com/s/article/CSA-4-6-Patch-519

Ivanti Cloud Services Appliance 5.0

https://forums.ivanti.com/s/article/CSA-5-0-Download 

参考链接：

https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Cloud-Service-Appliance-CSA-CVE-2024-8190?language=en_US