Ivanti je u utorak objavio zakrpe za četiri ranjivosti u Endpoint Manager (EPM) platformi, uključujući i kritičnu grešku koja omogućava udaljeno izvršavanje koda (RCE).
Ranjivost, praćena kao CVE-2025-10573 (CVSS 9.6), opisana je kao skladišteni cross-site scripting (XSS) problem koji se može iskoristiti bez autentikacije.
EPM pruža organizacijama daljinsku administraciju, skeniranje ranjivosti i upravljanje povezanih sistema, a uključuje i API koji obrađuje podatke dobijene skeniranjem uređaja.
Kritična ranjivost omogućava napadačima da pošalju maliciozne podatke skeniranja uređaja, koji se zatim obrađuju i ugrađuju u web kontrolnu tablu, objašnjava Rapid7, koji je otkrio i prijavio grešku u avgustu.
Kada administrator pristupi interfejsu kontrolne table i pregleda informacije o uređaju, maliciozni payload se aktivira i pokreće izvršavanje JavaScript koda na klijentskoj strani, što napadaču omogućava preuzimanje administratorske sesije.
Greška je ispravljena izdanjem Ivanti EPM 2024 SU4 SR1, koje takođe adresira još tri ranjivosti visokog nivoa ozbiljnosti.
Prva, CVE-2025-13659, opisana je kao nepravilna kontrola dinamički upravljanih resursa koda, što udaljenim, neautentikovanim napadačima može omogućiti upis proizvoljnih fajlova na server.
Uspješna eksploatacija ove ranjivosti može dovesti do RCE napada, ali je potrebna interakcija korisnika, navodi Ivanti u svom savjetu.
Druga ranjivost visokog nivoa, CVE-2025-13661, jeste path traversal greška koja se može iskoristiti udaljeno za upis proizvoljnih fajlova izvan predviđenog direktorijuma. Njena eksploatacija zahtijeva autentikaciju.
Treća visoko-rizična slabost odnosi se na „nepravilan proces verifikacije kriptografskih potpisa u komponenti za upravljanje zakrpama“ unutar EPM-a.
Praćena kao CVE-2025-13662, ona omogućava udaljenim, neautentikovanim napadačima da postignu RCE, ali zahtijeva određenu interakciju korisnika.
Ivanti navodi da trenutno nijedna od ovih ranjivosti nije zabilježena kao aktivno iskorištena. Korisnicima se preporučuje da što prije ažuriraju Ivanti EPM na najnoviju verziju.
Izvor: SecurityWeek