Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Ivanti opravuje 13 zraniteľností v rôznych produktoch
Ivanti opravuje 13 zraniteľností v produktoch Ivanti Connect Secure, Policy Secure, ZTA Gateways, Neurons for Secure Access a Ivanti Endpoint Manager. Najzávažnejšie zraniteľnosti sú popísané nižšie, zvyšné nájdete na [1][2]. Produkty a ich opravené verzie: Ivanti Connect Secure - 22.7R2.9, 22.8R2 [1] Ivanti Policy Secure - 22.7R1.5 [1] ZTA Gateways - 22.8R2.3-723 [1] Neurons for Secure Access - 22.8R1.4 [1] Ivanti Endpoint Manager - 2022 SU8 Security Release 2, 2024 SU3 Security Release 1 [2]
Autentizovanému vzdialenému útočníkovi je kvôli chýbajúcej autorizácii v Ivanti Connect Secure, Ivanti Policy Secure, Ivanti ZTA Gateway a Ivanti Neurons for Secure Access umožnené prevziať existujúce HTML5 spojenie [1].
Zraniteľnosť sa nachádza v produktoch:
- Ivanti Connect Secure; <=22.7R2.8
- Ivanti Policy Secure; <=22.7R1.4
- ZTA Gateways; =22.8R2.2
- Neurons for Secure Access; <=22.8R1.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:L
Viac informácií:
- CVE-2025-55145 na cve.org, NVD
- CWE-862: Missing Authorization na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 9. 9. 2025.
Neautentizovanému vzdialenému útočníkovi je v Ivanti Connect Secure, Ivanti Policy Secure, Ivanti ZTA Gateway a Ivanti Neurons for Secure Access umožnené vykonať CSRF útok [1].
Zraniteľnosť sa nachádza v produktoch:
- Ivanti Connect Secure; <=22.7R2.8
- Ivanti Policy Secure; <=22.7R1.4
- ZTA Gateways; =22.8R2.2
- Neurons for Secure Access; <=22.8R1.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2025-55147 na cve.org, NVD
- CWE-352: Cross-Site Request Forgery (CSRF) na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 9. 9. 2025.
Autentizovanému vzdialenému útočníkovi s administrátorskými oprávneniami iba na čítanie je kvôli chýbajúcej autorizácii v Ivanti Connect Secure, Ivanti Policy Secure, Ivanti ZTA Gateway a Ivanti Neurons for Secure Access umožnené konfigurovať nastavenia súvisiace s autentizáciou [1].
Zraniteľnosť sa nachádza v produktoch:
- Ivanti Connect Secure; <=22.7R2.8
- Ivanti Policy Secure; <=22.7R1.4
- ZTA Gateways; =22.8R2.2
- Neurons for Secure Access; <=22.8R1.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2025-55141 na cve.org, NVD
- CVE-2025-55142 na cve.org, NVD
- CWE-862: Missing Authorization na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 9. 9. 2025.
Neautentizovanému vzdialenému útočníkovi je kvôli nedostatočnej validácii názvov súborov v Ivanti Endpoint Manager umožnené vykonať vzdialené spustenie kódu [2].
Zraniteľnosť sa nachádza v produkte:
- Ivanti Endpoint Manager; <=2022 SU8 Security Update 1; <=2024 SU3
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2025-9712 na cve.org, NVD
- CVE-2025-9872 na cve.org, NVD
- CWE-434: Unrestricted Upload of File with Dangerous Type na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 9. 9. 2025.
Autentizovanému vzdialenému útočníkovi s administrátorskými oprávneniami iba na čítanie je kvôli chýbajúcej autorizácii v Ivanti Connect Secure, Ivanti Policy Secure, Ivanti ZTA Gateway a Ivanti Neurons for Secure Access umožnené neoprávnene konfigurovať obmedzené nastavenia [1].
Zraniteľnosť sa nachádza v produktoch:
- Ivanti Connect Secure; <=22.7R2.8
- Ivanti Policy Secure; <=22.7R1.4
- ZTA Gateways; =22.8R2.2
- Neurons for Secure Access; <=22.8R1.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:H
Viac informácií:
- CVE-2025-55148 na cve.org, NVD
- CWE-862: Missing Authorization na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 9. 9. 2025.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dňa 11. 9. 2025.