Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Ivanti opravuje 4 zraniteľnosti vo svojich produktoch
Ivanti opravuje 4 zraniteľnosti v produktoch Ivanti Neurons for ITSM, Ivanti Cloud Services Application a Ivanti Endpoint Manager Mobile [1][2][3].
Neautentifikovanému vzdialenému útočníkovi je v produkte Ivanti Neurons for ITSM (iba on-premise) v závislosti od konfigurácie systému umožnené získať administrátorský prístup k systému [1].
Zraniteľnosť sa nachádza v produkte:
- *:Ivanti Neurons for ITSM; =2023.4; =2024.2; =2024.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2025-22462 na cve.org, NVD
- CWE-288: Authentication Bypass Using an Alternate Path or Channel na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 13. 5. 2025.
Autentifikovanému lokálnemu útočníkovi je v produkte Ivanti Cloud Services Application umožnené zvýšiť svoje oprávnenia [2].
Zraniteľnosť sa nachádza v produkte:
- *:Ivanti Cloud Services Application; <=5.0.4
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2025-22460 na cve.org, NVD
- CWE-1392: Use of Default Credentials na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 13. 5. 2025.
Neautentifikovanému vzdialenému útočníkovi je z dôvodu chyby obídenia autentifikácie v produkte Ivanti Endpoint Manager Mobile umožnené pristupovať k chráneným prostriedkom bez zodpovedajúcich prihlasovacích údajov [3].
Zraniteľnosť sa nachádza v produkte:
- *:Ivanti Endpoint Manager Mobile; <=11.12.0.4; <=12.3.0.1; <=12.4.0.1, <=12.5.0.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Viac informácií:
- CVE-2025-4427 na cve.org, NVD
- CWE-288: Authentication Bypass Using an Alternate Path or Channel na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 13. 5. 2025.
Autentifikovanému vzdialenému útočníkovi je v produkte Ivanti Endpoint Manager Mobile umožnené spustiť ľubovoľný kód [3].
Zraniteľnosť sa nachádza v produkte:
- *:Ivanti Endpoint Manager Mobile; <=11.12.0.4; <=12.3.0.1; <=12.4.0.1, <=12.5.0.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2025-4428 na cve.org, NVD
- CWE-94: Improper Control of Generation of Code ('Code Injection') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 13. 5. 2025.
Odkazy
- [1] https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Neurons-for-ITSM-on-premises-only-CVE-2025-22462
- [2] https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Cloud-Services-Application-CVE-2025-22460
- [3] https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM
Za CESNET, z.s.p.o. Michaela Jarošová dňa 14. 5. 2025.