CVE-2024-38653

Ivanti Avalanche versão 6.3.1

O problema está relacionado a uma falha de Entidade Externa XML (XXE) no componente SmartDeviceServer do Ivanti Avalanche. Essa falha permite que um invasor remoto não autenticado leia arquivos arbitrários no servidor, potencialmente divulgando informações protegidas. A vulnerabilidade está associada à restrição incorreta de links XML para objetos externos.

Para o Ivanti Avalanche versão 6.3.1, considere desativar a função de processamento de entidade externa XML decodeToMap como uma solução temporária até que um patch esteja disponível. Restrinja o acesso ao componente SmartDeviceServer para minimizar o risco de exploração. Evite usar a funcionalidade de processamento XML vulnerável no servidor afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.