Zoho ManageEngine Seite 11

In der CRM-User-Management-Framework-Komponente von Oracle E-Business Suite (Oracle Common Applications) besteht in den Versionen 12.2.3 bis 12.2.14 eine leicht ausnutzbare Schwachstelle. Laut NVD kann ein nicht authentifizierter Angreifer per HTTP-Netzwerkzugriff die Common Applications kompromittieren, was zu unautorisiertem Zugriff auf kritische Daten oder vollständigem Zugriff auf alle Daten der Common Applications führen kann. CVSS-Basiswert: 7.5 (Hoch).

Ein unkontrolliertes Search-Path-Element in Visual Studio Tools for Applications und SQL Server Management Studio erlaubt einem bereits authentifizierten Angreifer die lokale Rechteausweitung (Privilege Escalation). CVSS-Basiswert: 7.3 (Hoch).

Im Debian-Paketkomponente des Taegis Endpoint Agent (Linux) besteht in Versionen älter als 1.3.10 eine Code-Injection-Schwachstelle, die lokalen Benutzern die Ausführung beliebigen Codes als Root erlaubt. Auf Redhat-basierten Systemen mit RPM-Paketen besteht die Schwachstelle nicht. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf Version 1.3.10 oder neuer aktualisieren.

In Ivanti Endpoint Manager vor Version 2024 SU1 bzw. 2022 SU7 erlaubt ein reflektiertes Cross-Site-Scripting einem entfernten, nicht authentifizierten Angreifer, Administratorrechte zu erlangen. Die Ausnutzung erfordert eine Benutzerinteraktion. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Aktualisierung auf 2024 SU1 bzw. 2022 SU7.

Im Remote Desktop Client besteht ein Heap-basierter Pufferüberlauf, über den ein authentifizierter Angreifer Code über das Netzwerk ausführen kann. Ein erfolgreicher Angriff kann zur vollständigen Kompromittierung des betroffenen Systems führen, mit hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 8 (Hoch).

In Ivanti Endpoint Manager ermöglicht eine DLL-Hijacking-Schwachstelle einem authentifizierten Angreifer die Rechteausweitung auf System-Ebene. Betroffen sind Versionen vor 2024 SU1 beziehungsweise vor 2022 SU7. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: auf Version 2024 SU1 beziehungsweise 2022 SU7 oder neuer aktualisieren.

Ivanti Endpoint Manager vor Version 2024 SU1 bzw. vor Version 2022 SU7 enthält eine SQL-Injection-Schwachstelle. Ein entfernter authentifizierter Angreifer mit Administratorrechten kann dadurch Code ausführen. CVSS-Basiswert: 7.2 (Hoch).

In einigen Zoom Workplace Apps kann ein Use-after-free einem authentifizierten Benutzer über Netzwerkzugriff die Ausweitung seiner Rechte (Escalation of Privilege) ermöglichen. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: auf eine vom Hersteller korrigierte Version aktualisieren.

Ein relatives Pfad-Traversal im Remote Desktop Client erlaubt einem nicht autorisierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-Basiswert liegt bei 8.8 (Hoch).

Ein Heap-Overflow in einigen Zoom Workplace Apps kann es einem authentifizierten Benutzer erlauben, über Netzwerkzugriff eine Rechteausweitung durchzuführen. CVSS-Basiswert: 8.5 (Hoch).

In einigen Zoom Workplace Apps kann ein Buffer Underflow einem authentifizierten Nutzer über Netzwerkzugriff die Ausweitung seiner Rechte ermöglichen. CVSS-Basiswert: 8.5 (Hoch). Empfohlene Massnahme: Sicherheitsupdate des Herstellers einspielen.

Zohocorp ManageEngine ADSelfService Plus in den Versionen 6510 und früher ist aufgrund einer fehlerhaften Session-Behandlung anfällig für Kontoübernahme. Nur gültige Kontoinhaber im Setup haben das Potenzial, diesen Fehler auszunutzen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: auf eine bereinigte Version oberhalb von 6510 aktualisieren.

Ein Pufferüberlauf in einigen Zoom Apps kann es einem authentifizierten Benutzer erlauben, über Netzwerkzugriff eine Rechteausweitung durchzuführen. CVSS-Basiswert: 8.5 (Hoch).

Das Dell Client Platform BIOS enthält eine Schwachstelle durch schwache Authentifizierung. Ein hoch privilegierter Angreifer mit lokalem Zugriff kann sie ausnutzen und so seine Rechte ausweiten. CVSS-Basiswert: 8.2 (Hoch).

Im Devolutions Remote Desktop Manager auf macOS, iOS, Android und Linux fehlt eine korrekte Zertifikatsprüfung. Ein Angreifer kann dadurch mittels eines Man-in-the-Middle-Angriffs verschlüsselte Kommunikation abfangen und verändern. Betroffen sind laut Quelle unter anderem Remote Desktop Manager macOS 2024.3.9.0, Linux 2024.3.2.5, Android 2024.3.3.7, iOS 2024.3.3.0 und Powershell 2024.3.6.0 sowie jeweils frühere Versionen. CVSS-Basiswert: 8.8 (Hoch).

In Devolutions Remote Desktop Manager (Version 2024.3.19 und früher) unter Windows erfolgt eine unzureichende Host-Validierung bei der Zertifikatsprüfung. Ein Angreifer kann durch Präsentation eines Zertifikats für einen anderen Host verschlüsselte Kommunikation abfangen und manipulieren (Man-in-the-Middle-Angriff). CVSS-Basiswert: 8.1 (Hoch).

In der Zoom Workplace App für Linux vor Version 6.2.10 kann eine Typverwechslung (Type Confusion) einem autorisierten Benutzer über Netzwerkzugriff eine Rechteausweitung ermöglichen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: die Zoom Workplace App für Linux auf Version 6.2.10 oder neuer aktualisieren.

Zohocorp ManageEngine Applications Manager in Version 174000 und früher ist durch eine fehlerhafte Autorisierung in der Funktion zum Aktualisieren von Benutzern verwundbar. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: auf eine Version neuer als 174000 aktualisieren.

Im Produkt Oracle Analytics Desktop von Oracle Analytics (Komponente Install) besteht eine leicht ausnutzbare Schwachstelle. Ein Angreifer mit niedrigen Rechten und Zugang zur Infrastruktur, auf der Oracle Analytics Desktop ausgeführt wird, kann die Anwendung kompromittieren; ein erfolgreicher Angriff kann zur vollständigen Übernahme von Oracle Analytics Desktop führen. Betroffen sind Versionen vor 8.1.0. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 8.1.0 oder neuer.

Ivanti Endpoint Manager (EPM) vor dem Januar-2025-Sicherheitsupdate für die 2024er-Linie bzw. dem Januar-2025-Sicherheitsupdate für 2022 SU6 verarbeitet nicht vertrauenswürdige Daten unsicher (Deserialisierung). Ein entfernter, nicht authentifizierter Angreifer kann dadurch Remotecode-Ausführung erreichen; lokale Nutzerinteraktion ist erforderlich. CVSS-Basiswert: 7.8 (Hoch).

In Ivanti Endpoint Manager (EPM) vor dem Security Update von Januar 2025 (für die 2024er-Linie sowie 2022 SU6) ermöglicht eine nicht initialisierte Ressource einem lokal authentifizierten Angreifer die Ausweitung seiner Rechte. CVSS-Basiswert: 7.8 (Hoch).

Ivanti EPM weist vor dem 2024 January-2025 Security Update bzw. dem 2022 SU6 January-2025 Security Update einen Out-of-Bounds-Read auf. Ein lokal authentifizierter Angreifer kann die Schwachstelle zur Rechteausweitung nutzen. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: das entsprechende Security Update von Januar 2025 einspielen.

Eine unzureichende Validierung von Dateinamen in Ivanti EPM vor dem 2024-Januar-2025-Sicherheitsupdate und dem 2022-SU6-Januar-2025-Sicherheitsupdate erlaubt einem entfernten, nicht authentifizierten Angreifer Remote-Codeausführung. Dafür ist lokale Nutzerinteraktion erforderlich. CVSS-Basiswert: 7.8 (Hoch).

Ivanti EPM weist vor dem Sicherheitsupdate von Januar 2025 (für die 2024-Version sowie 2022 SU6) eine fehlerhafte Signaturprüfung auf. Ein nicht authentifizierter Angreifer aus der Ferne kann dadurch Remotecodeausführung erreichen, wobei lokale Benutzerinteraktion erforderlich ist. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: das Januar-2025-Sicherheitsupdate einspielen.

In Microsoft Power Automate ermöglicht eine Schwachstelle die Ausführung von beliebigem Code. Der Angriff erfolgt laut CVSS-Vektor lokal und erfordert Benutzerinteraktion, jedoch keine vorherigen Privilegien. Eine erfolgreiche Ausnutzung gefährdet Vertraulichkeit, Integrität und Verfügbarkeit des Systems in hohem Mass. CVSS-Basiswert: 7.8 (Hoch). Zur konkreten Massnahme liegen in den Quelldaten keine weiteren Angaben vor.

In Ivanti EPM vor dem Security-Update 2024 January-2025 sowie 2022 SU6 January-2025 besteht eine weitere Out-of-Bounds-Write-Schwachstelle. Ein entfernter, nicht authentifizierter Angreifer kann dadurch einen Denial-of-Service auslösen. CVSS-Basiswert: 7.5 (Hoch).

Ein Out-of-Bounds-Write in Ivanti EPM vor dem 2024-Januar-2025-Sicherheitsupdate sowie dem 2022-SU6-Januar-2025-Sicherheitsupdate erlaubt einem nicht authentifizierten, entfernten Angreifer, einen Denial of Service auszulösen. CVSS-Basiswert: 7.5 (Hoch).

In Ivanti EPM vor dem 2024-January-2025-Security-Update und dem 2022-SU6-January-2025-Security-Update besteht ein Out-of-Bounds-Write, der es einem nicht authentifizierten Angreifer aus der Ferne erlaubt, einen Denial-of-Service auszulösen. CVSS-Basiswert: 7.5 (Hoch).

In Ivanti EPM vor dem 2024 January-2025 Security Update sowie 2022 SU6 January-2025 Security Update besteht ein Out-of-Bounds-Write-Fehler. Ein entfernter, nicht authentifizierter Angreifer kann dadurch einen Denial of Service auslösen. CVSS-Basiswert: 7.5 (Hoch, Auswirkung auf Verfügbarkeit).

In Ivanti EPM vor dem Security-Update 2024 January-2025 sowie 2022 SU6 January-2025 besteht eine Out-of-Bounds-Write-Schwachstelle. Ein entfernter, nicht authentifizierter Angreifer kann dadurch einen Denial-of-Service auslösen. CVSS-Basiswert: 7.5 (Hoch).

Ivanti EPM vor dem Sicherheitsupdate vom Januar 2025 für die 2024-Version sowie vor dem SU6-Update vom Januar 2025 für die 2022-Version enthält einen unbounded resource search path. Ein entfernter authentifizierter Angreifer mit Administratorrechten kann diese Schwachstelle zur Remotecodeausführung ausnutzen. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: die im Januar 2025 veröffentlichten Sicherheitsupdates einspielen.

In Ivanti EPM besteht vor dem Security-Update von Januar 2025 (für die 2024- sowie die 2022-SU6-Linie) eine SQL-Injection-Schwachstelle. Ein entfernter, authentifizierter Angreifer mit Administratorrechten kann sie zur Ausführung von beliebigem Code (Remote Code Execution) missbrauchen. Die Lücke adressiert eine unvollständige Behebung von CVE-2024-32848. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: das Security-Update von Januar 2025 für die betroffene EPM-Linie einspielen.

Microsoft Defender for Endpoint on Android ist von einer Spoofing-Schwachstelle betroffen. CVSS-Basiswert: 8.1 (Hoch).

Im Remote Desktop Client besteht eine Schwachstelle, die eine Remote Code Execution ermöglicht. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: Verfügbare Microsoft-Sicherheitsupdates einspielen.

In Ivanti DSM vor Version 2024.3.5740 ermöglichen unzureichende Berechtigungen einem lokal authentifizierten Angreifer das Löschen beliebiger Dateien. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: auf Version 2024.3.5740 oder neuer aktualisieren.

Unzureichende Berechtigungen im Ivanti Patch SDK vor Version 9.7.703 erlauben einem lokalen authentifizierten Angreifer das Löschen beliebiger Dateien. CVSS-Basiswert: 7.1 (Hoch).

Eine fehlerhafte Berechtigungszuweisung in der Komponente für temporaere Zugriffsanfragen von Devolutions Remote Desktop Manager 2024.3.19.0 und aelter unter Windows erlaubt es einem authentifizierten Nutzer, der temporaere Berechtigungen für einen Eintrag anfordert, mehr Rechte zu erhalten als angefordert. CVSS-Basiswert: 8.1 (Hoch).

Zohocorp ManageEngine Analytics Plus in Versionen unter 6100 ist anfällig für eine authentifizierte Offenlegung sensibler Daten, die es Benutzern erlaubt, mit dem Org-Admin-Konto verknüpfte sensible Tokens abzurufen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Update auf Version 6100 oder neuer.

Eine unzureichende Eingabevalidierung in einigen Zoom Apps kann es einem nicht authentifizierten Angreifer ermöglichen, über Netzwerkzugriff Informationen offenzulegen. Laut CVSS-Vektor erfolgt der Angriff über das Netzwerk ohne Authentifizierung, erfordert jedoch eine Benutzerinteraktion; Vertraulichkeit und Integrität sind stark betroffen. CVSS-Basiswert: 8.1 (Hoch). Eine konkrete Massnahme liegt nicht in den Quelldaten vor.

Zohocorp ManageEngine ADAudit Plus in Versionen unterhalb 8123 ist anfällig für eine SQL-Injection im Reports-Modul. CVSS-Basiswert: 8.3 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 8123 oder neuer.

Eine unzureichende Zugriffskontrolle in der Intel EMA Software vor Version 1.13.1.0 kann einem authentifizierten Benutzer über lokalen Zugriff eine Rechteausweitung ermöglichen. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 1.13.1.0 oder neuer.

Eine Path-Traversal-Schwachstelle in Ivanti Endpoint Manager vor dem November-Sicherheitsupdate 2024 bzw. dem 2022-SU6-November-Sicherheitsupdate erlaubt einem lokalen, nicht authentifizierten Angreifer die Ausführung von Code. Für die Ausnutzung ist eine Benutzerinteraktion erforderlich. CVSS-Basiswert: 7.8 (Hoch). Empfohlene Massnahme: das November-Sicherheitsupdate 2024 bzw. für 2022 SU6 das entsprechende November-Sicherheitsupdate einspielen.

Eine SQL-Injection-Schwachstelle in Ivanti Endpoint Manager vor dem November-2024-Sicherheitsupdate beziehungsweise dem 2022-SU6-November- Sicherheitsupdate erlaubt einem entfernten, authentifizierten Angreifer mit Administratorrechten die Ausführung von beliebigem Code (Remote Code Execution). CVSS-Basiswert: 7.2 (Hoch).

In Ivanti Endpoint Manager vor dem November-2024-Sicherheitsupdate beziehungsweise vor 2022 SU6 November Security Update besteht eine SQL-Injection-Schwachstelle. Ein entfernter, bereits authentifizierter Angreifer mit Administratorrechten kann diese laut Quelle zur Remotecodeausführung nutzen. CVSS-Basiswert: 7.2 (Hoch).

Eine SQL-Injection in Ivanti Endpoint Manager vor dem November-2024-Sicherheitsupdate beziehungsweise dem 2022-SU6-November-Sicherheitsupdate erlaubt einem remote authentifizierten Angreifer mit Administratorrechten die Ausführung von beliebigem Code (Remote Code Execution). CVSS-Basiswert: 7.2 (Hoch).

Eine SQL-Injection-Schwachstelle in Ivanti Endpoint Manager vor dem November-2024-Sicherheitsupdate beziehungsweise dem 2022-SU6-November- Sicherheitsupdate erlaubt einem entfernten, authentifizierten Angreifer mit Administratorrechten die Ausführung von beliebigem Code (Remote Code Execution). CVSS-Basiswert: 7.2 (Hoch).

In Ivanti Endpoint Manager vor dem November-2024-Sicherheitsupdate beziehungsweise vor 2022 SU6 November Security Update besteht eine SQL-Injection-Schwachstelle. Ein entfernter, bereits authentifizierter Angreifer mit Administratorrechten kann diese laut Quelle zur Remotecodeausführung nutzen. CVSS-Basiswert: 7.2 (Hoch).

In Ivanti Endpoint Manager ermöglicht eine SQL-Injection-Schwachstelle entfernten authentifizierten Angreifern mit Administratorrechten die Ausführung von beliebigem Code. Betroffen sind Versionen vor dem November-2024-Sicherheitsupdate beziehungsweise vor dem 2022-SU6-November-Sicherheitsupdate. CVSS-Basiswert: 7.2 (Hoch).

Eine SQL-Injection-Schwachstelle in Ivanti Endpoint Manager vor dem November-2024-Sicherheitsupdate beziehungsweise dem 2022-SU6-November- Sicherheitsupdate erlaubt einem entfernten, authentifizierten Angreifer mit Administratorrechten die Ausführung von beliebigem Code (Remote Code Execution). CVSS-Basiswert: 7.2 (Hoch).

In Ivanti Endpoint Manager vor dem November-2024-Sicherheitsupdate beziehungsweise vor 2022 SU6 November Security Update besteht eine SQL-Injection-Schwachstelle. Ein entfernter, bereits authentifizierter Angreifer mit Administratorrechten kann diese laut Quelle zur Remotecodeausführung nutzen. CVSS-Basiswert: 7.2 (Hoch).