[TLP:CLEAR] Ivanti opravuje 4 zranitelnosti
Ivanti opravuje 4 zranitelnosti v produktech Ivanti Connect Secure, Policy Secure, ZTA Gateways a Neurons for Secure Access [1]. Produkty a jejich opravy [1]: Ivanti Connect Secure - 22.7R2.8, 22.8R2 Ivanti Policy Secure - 22.7R1.5 Ivanti ZTA Gateway - 22.8R2.3-723 Ivanti Neurons for Secure Access - 22.8R1.4
Neautentizovanému vzdálenému útočníkovi je kvůli zranitelnosti typu buffer over-read umožněno vykonat DoS útok [1].
Zranitelnost se nachází v produktech:
- Ivanti Connect Secure; <=22.7R2.7
- Ivanti Policy Secure ; <=22.7R1.4
- Ivanti ZTA Gateway; =22.8R2.2
- Ivanti Neurons for Secure Access; <=22.8R1.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2025-5456 na cve.org, NVD
- CWE-125: Out-of-bounds Read na cwe.mitre.org
Zranitelnost byla veřejně oznámena 12. 8. 2025.
Neautentizovanému vzdálenému útočníkovi je kvůli zranitelnosti typu heap-based buffer overflow umožněno vykonat DoS útok [1].
Zranitelnost se nachází v produktech:
- Ivanti Connect Secure; <=22.7R2.7
- Ivanti Policy Secure ; <=22.7R1.4
- Ivanti ZTA Gateway; =22.8R2.2
- Ivanti Neurons for Secure Access; <=22.8R1.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2025-5462 na cve.org, NVD
- CWE-122: Heap-based Buffer Overflow na cwe.mitre.org
- CWE-476: NULL Pointer Dereference na cwe.mitre.org
Zranitelnost byla veřejně oznámena 12. 8. 2025.
Autentizovanému lokálnímu útočníkovi je kvůli nesprávnému zacházení se symbolickými odkazy umožněno číst libovolné soubory na disku [1].
Zranitelnost se nachází v produktech:
- Ivanti Connect Secure; <=22.7R2.7
- Ivanti Policy Secure ; <=22.7R1.4
- Ivanti ZTA Gateway; =22.8R2.2
- Ivanti Neurons for Secure Access; <=22.8R1.3
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Více informací:
- CVE-2025-5468 na cve.org, NVD
- CWE-61: UNIX Symbolic Link (Symlink) Following na cwe.mitre.org
Zranitelnost byla veřejně oznámena 12. 8. 2025.
Autentizovanému vzdálenému útočníkovi s administrátorskými oprávněními je kvůli zranitelnosti typu XEE umožněno vykonat DoS útok [1].
Zranitelnost se nachází v produktech:
- Ivanti Connect Secure; <=22.7R2.7
- Ivanti Policy Secure ; <=22.7R1.4
- Ivanti ZTA Gateway; =22.8R2.2
- Ivanti Neurons for Secure Access; <=22.8R1.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2025-5466 na cve.org, NVD
- CWE-776: Improper Restriction of Recursive Entity References in DTDs ('XML Entity Expansion') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 12. 8. 2025.
Za CESNET, z.s.p.o. Michaela Jarošová dne 14. 8. 2025.