‘Ivanti met en garde contre une vulnérabilité critique dans sa ligne populaire de logiciels de protection des points d’extrémité’

Le fabricant de logiciels Ivanti exhorte les utilisateurs de son produit de sécurité des points d’extrémité à corriger une vulnérabilité critique qui permet aux attaquants non authentifiés d’exécuter du code malveillant à l’intérieur des réseaux concernés. La vulnérabilité, appartenant à une classe connue sous le nom d’injection SQL, réside dans toutes les versions prises en charge du gestionnaire de points d’extrémité Ivanti. Également connu sous le nom d’Ivanti EPM, ce logiciel fonctionne sur différentes plates-formes, notamment Windows, macOS, Linux, Chrome OS et des appareils Internet des objets tels que des routeurs. Les vulnérabilités d’injection SQL découlent d’un code défectueux qui interprète les entrées de l’utilisateur comme des commandes de base de données, ou, pour être plus technique, du fait de concaténer des données avec du code SQL sans citer les données conformément à la syntaxe SQL. La vulnérabilité Ivanti, suivie sous le nom CVE-2023-39336, bénéficie d’un niveau de gravité de 9.6 sur un maximum de 10. Les responsables d’Ivanti ont écrit vendredi dans une publication annonçant la disponibilité du correctif : « Si elle est exploitée, cette faille permet à un attaquant ayant accès au réseau interne de tirer parti d’une injection SQL non spécifiée pour exécuter des requêtes SQL arbitr…