CVE-2024-21887
Eine Command-Injection-Schwachstelle in Webkomponenten von Ivanti Connect Secure (9.x, 22.x) und Ivanti Policy Secure (9.x, 22.x) ermöglicht es einem authentifizierten Administrator, speziell erstellte Anfragen zu senden und beliebige Befehle auf der Appliance auszuführen.
Aktiv ausgenutzt
- Seit dem 10.01.2024 im CISA-Katalog ausgenutzter Schwachstellen
- US-Bundesbehörden müssen sie bis zum 22.01.2024 beheben (BOD 22-01)
- Angegriffen 3 Tage bevor die Schwachstelle öffentlich wurde
- Durch Sensoren bestätigt, nicht nur durch Meldungen
- In Ransomware-Kampagnen eingesetzt
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Quelle: CISA KEV · 03.10.2026 02.10.2026 01.10.2026 30.09.2026 29.09.2026 28.09.2026
CVSS-Score9.1 / 10
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:HSchwachstellentyp (CWE)CWE-77, CWE-77
Herstellerivanti
Betroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| ivanti | connect secure | 9.0 |
| ivanti | policy secure | 9.0 |
Verwandte Artikel
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.