Ivanti Avalanche के संस्करण 6.4.5 से पहले में पाथ ट्रैवर्सल (Path Traversal) एक दूरस्थ, गैर-प्रमाणित हमलावर को प्रमाणीकरण को बायपास (bypass) करने की अनुमति देता है।

यह भेद्यता एक दूरस्थ, अप्रमाणित हमलावर को Ivanti Avalanche सर्वर पर संवेदनशील फ़ाइलों तक पहुंचने की अनुमति देती है। हमलावर प्रमाणीकरण को दरकिनार करके, सिस्टम कॉन्फ़िगरेशन फ़ाइलों, उपयोगकर्ता डेटा और अन्य गोपनीय जानकारी तक पहुंच प्राप्त कर सकते हैं। यह जानकारी चोरी, छेड़छाड़ या विनाश के लिए इस्तेमाल की जा सकती है, जिससे महत्वपूर्ण व्यावसायिक व्यवधान और डेटा उल्लंघन हो सकता है। इस भेद्यता का शोषण सिस्टम पर पूर्ण नियंत्रण प्राप्त करने के लिए भी किया जा सकता है।

Organizations deploying Ivanti Avalanche, particularly those with publicly accessible instances or those lacking robust network segmentation, are at significant risk. Environments with legacy configurations or those relying on default settings are also more vulnerable. Shared hosting environments where multiple customers share the same server infrastructure are especially susceptible.

• windows / supply-chain:

Get-Process -Name "Avalanche*" | Select-Object -ExpandProperty Path

• linux / server:

ps aux | grep Avalanche

• generic web:

curl -I http://your-avalanche-server/../../../../etc/passwd

1. 2024-10-08Disclosure

   disclosure

1. आरक्षित2024-09-16
2. प्रकाशित2024-10-08
3. EPSS अद्यतन2026-04-02

Ivanti Avalanche को संस्करण 6.4.5 या बाद के संस्करण में तुरंत अपडेट करें। यदि तत्काल अपडेट संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके उन पथ पारगमन हमलों को ब्लॉक करें जो इस भेद्यता का फायदा उठाने का प्रयास करते हैं। WAF नियमों को उन अनुरोधों को ब्लॉक करने के लिए कॉन्फ़िगर करें जिनमें पथ पारगमन पैटर्न शामिल हैं, जैसे कि '..' अनुक्रम। Ivanti के सुरक्षा सलाहकार को देखें। अपडेट के बाद, यह सुनिश्चित करने के लिए सिस्टम की जांच करें कि भेद्यता ठीक हो गई है।