Sintesi – (aggiornamento del 29/07/2024)
Rilevate 2 vulnerabilità di sicurezza con gravità “critica” nelle componenti GlideExpression Script e UI Macros di ServiceNow, nelle versioni Utah, Vancouver and Washington D.C. Tali vulnerabilità potrebbero consentire a un utente non autenticato remoto l’esecuzione di codice arbitrario all’interno del contesto della piattaforma.
Note (aggiornamento del 29/07/2024): un Proof of Concept (PoC) per lo sfruttamento della vulnerabilità risulta disponibile in rete.
Note (aggiornamento del 30/07/2024): le vulnerabilità risultano essere sfruttate attivamente in rete.
Rischio (aggiornamento del 29/07/2024)
Stima d’impatto della vulnerabilità sulla comunità di riferimento: ALTO/ARANCIONE (72,17/100)1.
Tipologia
- Remote Code Execution
Prodotti e versioni affette – (aggiornamento del 30/07/2024)
Utah:
- Patch 10, versioni precedenti alla Hot Fix 3
- Patch 10a, versioni precedenti alla Hot Fix 2
- Patch 10b, versioni precedenti alla Hot Fix 1
Vancouver
- Patch 6, versioni precedenti alla Hot Fix 2
- Patch 7, versioni precedenti alla Hot Fix 3b
- Patch 8, versioni precedenti alla Hot Fix 4
- Patch 9, versioni precedenti alla Hot Fix 1
Washington DC
- Patch 1, versioni precedenti alla Hot Fix 3b
- Patch 2, versioni precedenti alla Hot Fix 2
- Patch 3, versioni precedenti alla Hot Fix 2
Azioni di mitigazione
In linea con le dichiarazioni del vendor, si raccomanda di applicare le mitigazioni disponibili seguendo le indicazioni riportate nei bollettini di sicurezza nella sezione Riferimenti.
Identificatori univoci vulnerabilità
CVE-2024-5217 – (aggiornamento del 30/07/2024)
Riferimenti
https://support.servicenow.com/kb?id=kb_article_view&sysparm_article=KB1645154
https://support.servicenow.com/kb?id=kb_article_view&sysparm_article=KB1648313 – (aggiornamento del 30/07/2024)
1La presente stima è effettuata tenendo conto di diversi parametri, tra i quali: CVSS, disponibilità di patch/workaround e PoC, diffusione dei software/dispositivi interessati nella comunità di riferimento.
