Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Ivanti Endpoint Manager opravuje 6 zraniteľností
Ivanti Endpoint Manager vo verziách 2022 SU7 a 2024 SU1 opravuje 6 zraniteľností [1].
Neautentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva umožnené vykonať útok reflected XSS a získať administrátorské oprávnenia [1].
Zraniteľnosť sa nachádza v produkte:
- *:Ivanti Endpoint Manager;>=2022,<2022 SU7;>=2024,<2024 SU1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N
Viac informácií:
- CVE-2025-22466 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 8. 4. 2025.
Autentizovanému lokálnemu útočníkovi je pomocou techniky DLL hijacking umožnené eskalovať svoje oprávnenia na System [1].
Zraniteľnosť sa nachádza v produkte:
- *:Ivanti Endpoint Manager;>=2022,<2022 SU7;>=2024,<2024 SU1;
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2025-22458 na cve.org, NVD
- CWE-427: Uncontrolled Search Path Element na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 8. 4. 2025.
Autentizovanému vzdialenému útočníkovi s administrátorskými oprávneniami je umožnené spustiť kód [1].
Zraniteľnosť sa nachádza v produkte:
- *:Ivanti Endpoint Manager;>=2022,<2022 SU7;>=2024,<2024 SU1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2025-22461 na cve.org, NVD
- CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 8. 4. 2025.
Neautentizovanému vzdialenému útočníkovi je za určitých podmienok pomocou sociálneho inžinierstva umožnené vykonať útok reflected XSS [1].
Zraniteľnosť sa nachádza v produkte:
- *:Ivanti Endpoint Manager;>=2022,<2022 SU7;>=2024,<2024 SU1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Viac informácií:
- CVE-2025-22465 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 8. 4. 2025.
Autentizovanému lokálnemu útočníkovi je v dôsledku nedostatočnej validácie ukazovateľa umožnené zapisovať do pamäte ľubovoľné dáta a vykonať DoS útok [1].
Zraniteľnosť sa nachádza v produkte:
- *:Ivanti Endpoint Manager;>=2022,<2022 SU7;>=2024,<2024 SU1;
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:H
Viac informácií:
- CVE-2025-22464 na cve.org, NVD
- CWE-822: Untrusted Pointer Dereference na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 8. 4. 2025.
Neautentizovanému vzdialenému útočníkovi v pozícii man-in-the-middle (MITM) je v dôsledku nedostatočnej validácie certifikátu umožnené zachytiť obmedzenú časť komunikácie medzi klientom a serverom [1].
Zraniteľnosť sa nachádza v produkte:
- *:Ivanti Endpoint Manager;>=2022,<2022 SU7;>=2024,<2024 SU1;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
Viac informácií:
- CVE-2025-22459 na cve.org, NVD
- CWE-296: Improper Following of a Certificate's Chain of Trust na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 8. 4. 2025.
Odkazy
Za CESNET, z.s.p.o. Michaela Ručková dňa 11. 4. 2025.