[TLP:CLEAR] Ivanti EPMM opravuje 5 vysoko závažných zraniteľností
Ivanti verziami 12.6.1.1, 12.7.0.1 a 12.8.0.1 opravuje 5 zraniteľností v produkte Ivanti Endpoint Manager Mobile, z toho jedna je aktívne zneužívaná [1].
Autentizovanému vzdialenému útočníkovi s administrátorskými oprávneniami je v dôsledku nedostatočnej validácie vstupov umožnené spustiť ľubovoľný kód. Táto zraniteľnosť je už aktívne zneužívaná [1].
Zraniteľnosť sa nachádza v produkte:
- Ivanti Endpoint Manager Mobile; < 12.6.1.1; >= 12.7.0.0, < 12.7.0.1; >= 12.8.0.0, < 12.8.0.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2026-6973 na cve.org, NVD
- CWE-20: Improper Input Validation na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 7. 5. 2026.
Neautentizovanému vzdialenému útočníkovi je v dôsledku nesprávneho overovania certifikátov umožnené imitovať registrovaných hostiteľov Sentry a získať platné klientske certifikáty podpísané certifikačnou autoritou [1].
Zraniteľnosť sa nachádza v produkte:
- Ivanti Endpoint Manager Mobile; < 12.6.1.1; >= 12.7.0.0, < 12.7.0.1; >= 12.8.0.0, < 12.8.0.1
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:L
Viac informácií:
- CVE-2026-5787 na cve.org, NVD
- CWE-295: Improper certificate validation na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 7. 5. 2026.
Autentizovanému vzdialenému útočníkovi s nízkymi oprávneniami je v dôsledku nesprávneho riadenia prístupu umožnené získať plný administrátorský prístup k systému [1].
Zraniteľnosť sa nachádza v produkte:
- Ivanti Endpoint Manager Mobile; < 12.6.1.1; >= 12.7.0.0, < 12.7.0.1; >= 12.8.0.0, < 12.8.0.1
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Viac informácií:
- CVE-2026-5786 na cve.org, NVD
- CWE-284: Improper Access Control na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 7. 5. 2026.
Za CESNET, z.s.p.o. Henrieta Paločková dňa 11. 5. 2026.