[TLP:CLEAR] Ivanti opravuje 4 zranitelnosti ve svých produktech
Ivanti opravuje 4 zranitelnosti v produktech Ivanti Neurons for ITSM, Ivanti Cloud Services Application a Ivanti Endpoint Manager Mobile [1][2][3].
Neautentizovanému vzdálenému útočníkovi je v produktu Ivanti Neurons for ITSM (pouze on-premise) v závislosti na konfiguraci systému umožněno získat administrátorský přístup k systému [1].
Zranitelnost se nachází v produktu Ivanti Neurons for ITSM ve verzích (=2023.4) OR (=2024.2) OR (=2024.3).
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2025-22462 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-288: Authentication Bypass Using an Alternate Path or Channel at cwe.mitre.org
Zranitelnost byla veřejně oznámena 13. 5. 2025.
Autentizovanému lokálnímu útočníkovi je v produktu Ivanti Cloud Services Application umožněno zvýšit svá oprávnění [2].
Zranitelnost se nachází v produktu Ivanti Cloud Services Application ve verzích <=5.0.4.
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2025-22460 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-1392: Use of Default Credentials at cwe.mitre.org
Zranitelnost byla veřejně oznámena 13. 5. 2025.
Neautentizovanému vzdálenému útočníkovi je kvůli chybě obejití autentizace v produktu Ivanti Endpoint Manager Mobile umožněno přistupovat ke chráněným prostředkům bez odpovídajících přihlašovacích údajů [3].
Zranitelnost se nachází v produktu Ivanti Endpoint Manager Mobile ve verzích (<=11.12.0.4) OR (<=12.3.0.1) OR (<=12.4.0.1 AND <=12.5.0.0).
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Více informací:
- CVE-2025-4427 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-288: Authentication Bypass Using an Alternate Path or Channel at cwe.mitre.org
Zranitelnost byla veřejně oznámena 13. 5. 2025.
Autentizovanému vzdálenému útočníkovi je v produktu Ivanti Endpoint Manager Mobile umožněno spustit libovolný kód [3].
Zranitelnost se nachází v produktu Ivanti Endpoint Manager Mobile ve verzích (<=11.12.0.4) OR (<=12.3.0.1) OR (<=12.4.0.1 AND <=12.5.0.0).
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2025-4428 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-94: Improper Control of Generation of Code ('Code Injection') at cwe.mitre.org
Zranitelnost byla veřejně oznámena 13. 5. 2025.
Odkazy
- [1] https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Neurons-for-ITSM-on-premises-only-CVE-2025-22462
- [2] https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Cloud-Services-Application-CVE-2025-22460
- [3] https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM
Za CESNET-CERTS Michaela Jarošová dne 14. 5. 2025.
