[TLP:CLEAR] Ivanti opravuje 13 zranitelností v různých produktech
Ivanti opravuje 13 zranitelností v produktech Ivanti Connect Secure, Policy Secure, ZTA Gateways, Neurons for Secure Access a Ivanti Endpoint Manager. Nejzávažnější zranitelnosti jsou popsány níže, zbylé naleznete na [1][2]. Produkty a jejich opravené verze: Ivanti Connect Secure - 22.7R2.9, 22.8R2 [1] Ivanti Policy Secure - 22.7R1.5 [1] ZTA Gateways - 22.8R2.3-723 [1] Neurons for Secure Access - 22.8R1.4 [1] Ivanti Endpoint Manager - 2022 SU8 Security Release 2, 2024 SU3 Security Release 1 [2]
Autentizovanému vzdálenému útočníkovi je kvůli chybějící autorizaci v Ivanti Connect Secure, Ivanti Policy Secure, Ivanti ZTA Gateway a Ivanti Neurons for Secure Access umožněno převzít existující HTML5 spojení [1].
Zranitelnost se nachází v produktech:
- Ivanti Connect Secure; <=22.7R2.8
- Ivanti Policy Secure; <=22.7R1.4
- ZTA Gateways; =22.8R2.2
- Neurons for Secure Access; <=22.8R1.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L
Více informací:
- CVE-2025-55145 na cve.org, NVD
- CWE-862: Missing Authorization na cwe.mitre.org
Zranitelnost byla veřejně oznámena 9. 9. 2025.
Neautentizovanému vzdálenému útočníkovi je v Ivanti Connect Secure, Ivanti Policy Secure, Ivanti ZTA Gateway a Ivanti Neurons for Secure Access umožněno vykonat CSRF útok [1].
Zranitelnost se nachází v produktech:
- Ivanti Connect Secure; <=22.7R2.8
- Ivanti Policy Secure; <=22.7R1.4
- ZTA Gateways; =22.8R2.2
- Neurons for Secure Access; <=22.8R1.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2025-55147 na cve.org, NVD
- CWE-352: Cross-Site Request Forgery (CSRF) na cwe.mitre.org
Zranitelnost byla veřejně oznámena 9. 9. 2025.
Autentizovanému vzdálenému útočníkovi s administrátorskými oprávněními pouze pro čtení je kvůli chybějící autorizaci v Ivanti Connect Secure, Ivanti Policy Secure, Ivanti ZTA Gateway a Ivanti Neurons for Secure Access umožněno konfigurovat nastavení související s autentizací [1].
Zranitelnost se nachází v produktech:
- Ivanti Connect Secure; <=22.7R2.8
- Ivanti Policy Secure; <=22.7R1.4
- ZTA Gateways; =22.8R2.2
- Neurons for Secure Access; <=22.8R1.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2025-55141 na cve.org, NVD
- CVE-2025-55142 na cve.org, NVD
- CWE-862: Missing Authorization na cwe.mitre.org
Zranitelnost byla veřejně oznámena 9. 9. 2025.
Neautentizovanému vzdálenému útočníkovi je kvůli nedostatečné validaci názvů souborů v Ivanti Endpoint Manager umožněno vykonat vzdálené spuštění kódu [2].
Zranitelnost se nachází v produktu:
- Ivanti Endpoint Manager; <=2022 SU8 Security Update 1; <=2024 SU3
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2025-9712 na cve.org, NVD
- CVE-2025-9872 na cve.org, NVD
- CWE-434: Unrestricted Upload of File with Dangerous Type na cwe.mitre.org
Zranitelnost byla veřejně oznámena 9. 9. 2025.
Autentizovanému vzdálenému útočníkovi s administrátorskými oprávněními pouze pro čtení je kvůli chybějící autorizaci v Ivanti Connect Secure, Ivanti Policy Secure, Ivanti ZTA Gateway a Ivanti Neurons for Secure Access umožněno neoprávněně konfigurovat omezená nastavení [1].
Zranitelnost se nachází v produktech:
- Ivanti Connect Secure; <=22.7R2.8
- Ivanti Policy Secure; <=22.7R1.4
- ZTA Gateways; =22.8R2.2
- Neurons for Secure Access; <=22.8R1.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:H
Více informací:
- CVE-2025-55148 na cve.org, NVD
- CWE-862: Missing Authorization na cwe.mitre.org
Zranitelnost byla veřejně oznámena 9. 9. 2025.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dne 11. 9. 2025.