安全厂商Ivanti发布了Avalanche移动设备管理(MDM)产品的更新，修复了22个漏洞，其中13个被评为严重漏洞。
供应商将Ivanti Avalanche描述为一个企业MDM解决方案，能够管理超过100,000个移动设备的分布式部署——包括从仓库扫描仪到手持平板电脑的任何设备。
然而，本周发布的Avalanche 6.4.2版本修复了13个漏洞，CVSS评分为9.8。它们是基于堆栈的缓冲区溢出远程代码执行(RCE)漏洞、基于堆的缓冲区溢出RCE和未经身份验证的缓冲区溢出的混合。
Ivanti在一份报告中警告说：“攻击者向移动设备服务器发送特制数据包可能会导致内存损坏，从而导致代码执行。”
为了解决列出的安全漏洞，它强烈建议下载Avalanche安装程序并更新到最新的Avalanche 6.4.2。安装将为列出的每个CVE应用一个修复程序，这些漏洞影响到任何旧版本的Avalanche(确认是6.3.1，但可能是6.3.1)。X版本会受到影响)。
目前还没有迹象表明这些漏洞正在被主动攻击利用，但是Ivanti MDM产品过去曾成为威胁参与者的攻击目标。
今年夏天，该供应商被迫修补了其Ivanti Endpoint Manager Mobile (EPMM)(以前称为MobileIron Core)中的多个零日漏洞。
美国网络安全和基础设施安全局(CISA)当时在一份报告中写道:“移动设备管理(MDM)系统对威胁行为者来说是有吸引力的目标，因为它们提供了对数千台移动设备的高级访问权限，APT行为者利用了之前的MobileIron漏洞。”
除了13个严重级别的漏洞外，Ivanti还在其Avalanche 6.4.2版本中修复了另外9个高级别和中等级别的漏洞。