CVE-2024-21893: A server-side request forgery vulnerability in the SAML component of Ivanti Connect Secure (9.x, 22.x) and Ivanti Policy Secure (9.x, 22.x)
Оценка Noroxi
Приоритет: Срочно (оценка срочности 92/100)
- CISA подтвердило эксплуатацию в реальных атаках (31 янв. 2024 г.); известно использование в кампаниях программ-вымогателей. Срок устранения для федеральных ведомств США: 2 февр. 2024 г.
- Опубликован готовый модуль атаки (Metasploit, Nuclei); для эксплуатации не нужна особая квалификация.
- Вероятность эксплуатации в ближайшие 30 дней: 99,9% (FIRST EPSS); выше, чем у 99,9% записей.
- Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
- По данным CISA атаку можно автоматизировать: цели находятся массовым сканированием.
- Согласно записи, исправленной версии пока нет.
- Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 1.
Установите исправление сегодня или закройте доступ. До выхода исправления ограничьте доступ к затронутому компоненту и следите за бюллетенем производителя.
Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем
Первоисточники: NVD · CVE.org · CISA KEV · FIRST EPSS
A server-side request forgery vulnerability in the SAML component of Ivanti Connect Secure (9.x, 22.x) and Ivanti Policy Secure (9.x, 22.x) and Ivanti Neurons for ZTA allows an attacker to access certain restricted resources without authentication.
- Опубликовано
- 31 янв. 2024 г.
- Обновлено
- 4 авг. 2026 г.
- EPSS
- 99,9 % · 99-й процентиль
- CWE
- CWE-918
Инструменты для отчёта
Оценка срочности
92
Срочно
Установите исправление сегодня или закройте доступ.
- CVSS
- 32 / 40 · 8.2 / 10
- CISA KEV
- 30 / 30 · В списке
- EPSS
- 30 / 30 · 99,9 %
Решение CISA SSVC
- Эксплуатация
- активная
- Автоматизируемо
- да
- Техническое влияние
- частичное
Vulnrichment: входные данные дерева решений CISA.
Оценка CNA и NVD
- NVD
- 8,2
- CNA · hackerone
- 8,2
- совпадают
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.
Активно эксплуатируется
CISA добавило это в каталог активно эксплуатируемых уязвимостей (KEV) 31 янв. 2024 г.. Это указывает на реальные атаки, а не теорию.
Срок устранения для федеральных ведомств США: 2 февр. 2024 г..
Известно об использовании в кампаниях с программами-вымогателями.
Узнайте, когда запись изменится
- В CISA KEV: эксплуатация в реальных атаках подтверждена
- Есть боевой эксплойт
- Исправленной версии пока нет
Если что-то из этого изменится, сообщим в ежедневной сводке.
У вас WordPress? Проверьте сайт бесплатно в WP Lens
Анализ Noroxi
Что это значит для вашей инфраструктуры?
Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.
Мы используем этот продукт, нужна помощьЗатронутые системы
Затронута ли ваша версия?
Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.
| Вендор | Продукт | CPE |
|---|---|---|
| ivanti | connect secure | cpe:2.3:a:ivanti:connect_secure |
| ivanti | policy secure | cpe:2.3:a:ivanti:policy_secure |
| ivanti | neurons for zero-trust access | cpe:2.3:a:ivanti:neurons_for_zero-trust_access |
Используете connect secure? Добавьте в свой стек и первыми узнавайте о подобных CVE. (VPN-шлюз)
Затронутые версии
Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.
- ivanti connect secure21.12
- ivanti connect secure21.9
- ivanti connect secure22.1
- ivanti connect secure22.2
- ivanti connect secure22.3
- ivanti connect secure22.4
- ivanti connect secure22.6
- ivanti connect secure9.0
- ivanti connect secure9.1
Версии, заявленные вендором
Диапазоны затронутых версий, заявленные назначающей организацией (hackerone). Не зависят от анализа CPE в NVD и обычно опережают его.
Ivanti ICS
- 9.1R18 и новее · до 9.1R18 включительнозатронута · semver
- 22.6R2 и новее · до 22.6R2 включительнозатронута · semver
Ivanti IPS
- 9.1R18 и новее · до 9.1R18 включительнозатронута · semver
- 22.6R1 и новее · до 22.6R1 включительнозатронута · semver
Тот же продукт
ivanti: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2019-11510In Pulse Secure Pulse Connect Secure (PCS) 8.2 before 8.2R12.1, 8.3 before 8.3R7.1, and 9.0 before 9.0R3.4, an unauthenticated remote attackKEV100Срочно
- CVE-2025-22457A stack-based buffer overflow in Ivanti Connect Secure before version 22.7R2.6, Ivanti Policy Secure before version 22.7R1.4, and Ivanti ZTAKEV99Срочно
- CVE-2025-0282A stack-based buffer overflow in Ivanti Connect Secure before version 22.7R2.5, Ivanti Policy Secure before version 22.7R1.2, and Ivanti NeuKEV96Срочно
Опубликованы до и после этой записи в том же продукте
- ← РаньшеCVE-2023-4680512 янв. 2024 г. · An authentication bypass vulnerability in the web component of Ivanti ICS 9.x, 22.x and Ivanti Policy Secure allows a remote attacker to accKEV92Срочно
- ← РаньшеCVE-2024-2188831 янв. 2024 г. · A privilege escalation vulnerability in web component of Ivanti Connect Secure (9.x, 22.x) and Ivanti Policy Secure (9.x, 22.x) allows a use61На этой неделе
- Позже →CVE-2024-2202413 февр. 2024 г. · An XML external entity or XXE vulnerability in the SAML component of Ivanti Connect Secure (9.x, 22.x), Ivanti Policy Secure (9.x, 22.x) and61На этой неделе
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
Для этой записи не зафиксирована версия с исправлением. Смотрите бюллетени вендора в источниках.
Статус эксплойта
Готовый эксплойт
Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.
Доказательство
- Модуль Metasploit ×1
- Шаблон обнаружения Nuclei ×1
- Репозиторий PoC на GitHub ×2
Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.
| Источник | Тип | Дата |
|---|---|---|
| Модуль Metasploit | exploit/linux/http/ivanti_connect_secure_rce_cve_2024_21893Ivanti Connect Secure Unauthenticated Remote Code Executionexploit | 2024-01-31 |
| Шаблон обнаружения Nuclei | Шаблон Nuclei CVE-2024-21893 | — |
| Репозиторий PoC на GitHub | stars:94 | 2024-02-02 |
| Репозиторий PoC на GitHub | stars:27 | 2024-02-03 |
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
- Metasploit-1 дн.
- CISA KEV-1 дн.
- Публикация
- Первый PoC+1 дн.
- Сегодня3 нояб. 2026 г.+1006 дн.
Истории пока нет (накапливается ежедневным заданием EPSS).
Ссылки на патчи и коммиты
Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.
Среди источников нет ссылок на коммит или PR.
Авторы
Все исследователиНашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.
В записи CNA нет авторов.
Кандидаты в варианты
Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.
- CVE-2025-0292с разницей 524 дн.SSRF in Ivanti Connect Secure before version 22.7R2.8 and Ivanti Policy Secure before version 22.7R1.5 allows a remote authenticated attacke19Наблюдать
Кандидаты в цепочки
Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.
- CVE-2024-21887с разницей 19 дн.A command injection vulnerability in web components of Ivanti Connect Secure (9.x, 22.x) and Ivanti Policy Secure (9.x, 22.x) allows an autKEV96Срочно
- CVE-2023-41719с разницей 49 дн.A vulnerability exists on all versions of Ivanti Connect Secure below 22.6R2 where an attacker impersonating an administrator may craft a sp29Наблюдать
Охват bug bounty
Известной публичной программы нет.
Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).
Национальное уведомление (Управление кибербезопасности Турции / USOM)
Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.
- TR-24-0079 · 1 февр. 2024 г.(İvanti Güvenlik Bildirimi)
Технические детали
Условия атаки
- Может быть вызвана любым, у кого есть доступ через интернет.
- Учётная запись или пароль не требуются.
- Действия пользователя не требуются.
- Особые условия не требуются; воспроизводится стабильно.
В случае успеха
- Конфиденциальность
- высокое · данные могут быть прочитаны
- Целостность
- низкое · данные или конфигурация могут быть изменены
- Доступность
- нет
- Вектор атаки
- Сеть
- Сложность атаки
- Низкая
- Требуемые привилегии
- Не требуются
- Взаимодействие с пользователем
- Не требуется
- Область действия
- Не изменяется
- Влияние на конфиденциальность
- Высокое
- Влияние на целостность
- Низкое
- Влияние на доступность
- Нет
Класс уязвимости (CWE)
CWE-918 · Server-Side Request Forgery (SSRF)Вектор CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
nvd-primary
Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
Шаблоны атак (CAPEC)
Техники ATT&CK
—
Журнал изменений
Изменений отслеживаемых полей пока нет. Здесь появятся изменения оценки, KEV, зрелости эксплойта и статуса исправления.
Источники
Показать все источники (ещё 1)Свернуть
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.