[TLP:CLEAR] Ivanti opravuje 11 zranitelností

Ivanti opravuje 11 zranitelností ve svých produktech. Nejzávažnější z nich jsou popsány níže, zbylé naleznete na [1][2][3]. Jednotlivé produkty a jejich opravené verze: Ivanti Connect Secure (ICS) [1] - 22.7R2.8 Ivanti Policy Secure (IPS) [1] - 22.7R1.5 Ivanti Endpoint Manager (EPM) [2] - 2024 SU3, 2022 SU8 Security Update 1 Ivanti Endpoint Manager Mobile (EPMM) [3] - 12.5.0.2, 12.4.0.3, 12.3.0.3

Ivanti Endpoint Manager - password disclosure (CVE-2025-6995, CVE-2025-6996)
CVSS 8.4 (High)

Autentizovanému lokálnímu útočníkovi je kvůli nesprávnému použití šifrování v agentovi Ivanti EPM umožněno dešifrovat hesla jiných uživatelů [2].

Zranitelnost se nachází v produktu:

  • Ivanti Endpoint Manager; <2022 SU8 Security Update 1; >2022 SU8 Security Update 1, <2024 SU3;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Více informací:

Zranitelnost byla veřejně oznámena 8. 7. 2025.

Ivanti Endpoint Manager Mobile - OS command injection (CVE-2025-6770, CVE-2025-6771)
CVSS 7.2 (High)

Autentizovanému vzdálenému útočníkovi s vyššími oprávněními je kvůli zranitelnosti typu OS command injection v Ivanti EPMM umožněno spustit kód [3].

Zranitelnost se nachází v produktu:

  • Ivanti Endpoint Manager Mobile; <12.3.0.3; >12.3.0.3, <12.4.0.3; >12.4.0.3, <12.5.0.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Více informací:

  • CVE-2025-6770 na cve.org, NVD
  • CVE-2025-6771 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 7. 2025.

Ivanti Endpoint Manager - SQL injection (CVE-2025-7037)
CVSS 5.5 (Medium)

Autentizovanému vzdálenému útočníkovi s právy administrátora je kvůli zranitelnosti typu SQL injection v Ivanti EPM umožněno číst libovolná data z databáze [2].

Zranitelnost se nachází v produktu:

  • Ivanti Endpoint Manager; <2022 SU8 Security Update 1; >2022 SU8 Security Update 1, <2024 SU3;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:L

Více informací:

  • CVE-2025-7037 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 8. 7. 2025.

Ivanti Connect Secure & Policy Secure - CRLF injection (CVE-2025-0293)
CVSS 6.6 (Medium)

Autentizovanému vzdálenému útočníkovi s právy administrátora je kvůli zranitelnosti typu CRLF injection v ICS a IPS umožněno zapisovat do chráněného konfiguračního souboru na disku [1].

Zranitelnost se nachází v produktech:

  • Ivanti Connect Secure; <22.7R2.8;
  • Ivanti Policy Secure; <22.7R1.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:L

Více informací:

Zranitelnost byla veřejně oznámena 8. 7. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dne 14. 7. 2025.

CESNET, z.s.p.o. Logo