Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Ivanti opravuje 11 zraniteľností

Ivanti opravuje 11 zraniteľností vo svojich produktoch. Najzávažnejšie z nich sú opísané nižšie, zvyšné nájdete na [1][2][3]. Jednotlivé produkty a ich opravené verzie: Ivanti Connect Secure (ICS) [1] - 22.7R2.8 Ivanti Policy Secure (IPS) [1] - 22.7R1.5 Ivanti Endpoint Manager (EPM) [2] - 2024 SU3, 2022 SU8 Security Update 1 Ivanti Endpoint Manager Mobile (EPMM) [3] - 12.5.0.2, 12.4.0.3, 12.3.0.3

Ivanti Endpoint Manager - password disclosure (CVE-2025-6995, CVE-2025-6996)
CVSS 8.4 (High)

Autentizovanému lokálnemu útočníkovi je vďaka nesprávnemu použitiu šifrovania v agentovi Ivanti EPM umožnené dešifrovať heslá iných používateľov [2].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Endpoint Manager; <2022 SU8 Security Update 1; >2022 SU8 Security Update 1, <2024 SU3;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 8. 7. 2025.

Ivanti Endpoint Manager Mobile - OS command injection (CVE-2025-6770, CVE-2025-6771)
CVSS 7.2 (High)

Autentizovanému vzdialenému útočníkovi s vyššími oprávneniami je vďaka zraniteľnosti typu OS command injection v Ivanti EPMM umožnené spustiť kód [3].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Endpoint Manager Mobile; <12.3.0.3; >12.3.0.3, <12.4.0.3; >12.4.0.3, <12.5.0.2;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2025-6770 na cve.org, NVD
  • CVE-2025-6771 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 7. 2025.

Ivanti Endpoint Manager - SQL injection (CVE-2025-7037)
CVSS 5.5 (Medium)

Autentizovanému vzdialenému útočníkovi s právami administrátora je vďaka zraniteľnosti typu SQL injection v Ivanti EPM umožnené čítať ľubovoľné dáta z databázy [2].

Zraniteľnosť sa nachádza v produkte:

  • Ivanti Endpoint Manager; <2022 SU8 Security Update 1; >2022 SU8 Security Update 1, <2024 SU3;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:L

Viac informácií:

  • CVE-2025-7037 na cve.org, NVD
  • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 7. 2025.

Ivanti Connect Secure & Policy Secure - CRLF injection (CVE-2025-0293)
CVSS 6.6 (Medium)

Autentizovanému vzdialenému útočníkovi s právami administrátora je vďaka zraniteľnosti typu CRLF injection v ICS a IPS umožnené zapisovať do chráneného konfiguračného súboru na disku [1].

Zraniteľnosť sa nachádza v produktoch:

  • Ivanti Connect Secure; <22.7R2.8;
  • Ivanti Policy Secure; <22.7R1.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:L

Viac informácií:

Zraniteľnosť bola verejne oznámená 8. 7. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 14. 7. 2025.

CESNET, z.s.p.o. Logo