CVE-2022-36980
Publiée le 2023-03-29 · Dernière modification le 2026-06-17
Ivanti Avalanche (version 6.3.2.3490) est affecté par une faille dans son service EnterpriseServer qui permet à un attaquant distant de contourner totalement l'authentification. En cas de succès, un attaquant peut prendre le contrôle total du système, compromettant sa confidentialité, son intégrité et sa disponibilité. Bien qu'aucune interaction utilisateur ni aucun identifiant ne soient requis, l'exploit est techniquement difficile à exécuter en raison d'un niveau de complexité élevé.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
This vulnerability allows remote attackers to bypass authentication on affected installations of Ivanti Avalanche 6.3.2.3490. Although authentication is required to exploit this vulnerability, the existing authentication mechanism can be bypassed. The specific flaw exists within the EnterpriseServer service. The issue results from the lack of proper locking when performing operations during authentication. An attacker can leverage this vulnerability to bypass authentication on the system. Was ZDI-CAN-15528.