Bilgisayar korsanları, mobil cihaz yönetimi yazılımında orta ve yüksek şiddetli güvenlik açıklarını bir araya getirerek sınırlı sayıda Ivanti uç noktası mobil yöneticisi kullanıcısını başarıyla ihlal ettiler.
Güvenlik açıkları, CVE-2025-4427 Ve CVE-2025-4428kimlik doğrulanmamış bir saldırganın uzaktan kod yürütülmesine izin verebilir. Ivanti, müşterileri hemen yazılımın sabit bir sürümüne yükseltmeye çağırıyor.
Şirket ayrıca iki güvenlik açıkının EPMM’ye entegre edilmiş açık kaynaklı kütüphanelerde kusurlarla bağlantılı olduğu konusunda da uyardı. Güvenlik araştırmacıları, bu üçüncü taraf kusurlarının daha geniş etkileri olabileceğini söylüyor.
Ivanti, ek CVE’lerin garanti edilip edilmediğini belirlemek için güvenlik ortakları ve etkilenen kütüphanelerin bakıcıları ile birlikte çalıştığını söyledi.
Ancak konu hakkında bazı anlaşmazlıklar var. Araştırmacılar Watchtowr sorunun olup olmadığı hakkında sorular sordu Üçüncü taraf kütüphane kırılganlığına meşru bir şekilde suçlanmalıdır. Araştırmacılar, Ivanti’nin hazırda bekletici-validator kütüphanesinde bilinen tehlikeli bir işlevi kötüye kullandığını iddia ediyor.
Bu arada, Shadowserver Vakfı’ndaki araştırmacılar Bildirilen 798 örnek CVE-2025-4427, Perşembe günü 940 örnekten, Pazar gününden itibaren savunmasız olarak kabul edildi.
İstismar zinciri, EPMM’de bir saldırganın uygun kimlik bilgileri olmadan korunan kaynaklara erişmesini sağlayan bir kimlik doğrulama bypass’ı olan CVE-2025-4427’yi bağlamayı içerir, CVE-2025-4428, bir saldırganın bir hedef sistemde keyfi kod yürütmesine izin veren bir uzaktan kodu inceleme kusuru.
Güvenlik açıkları, sırasıyla 5.3 (orta şiddet) ve 7.2 (yüksek şiddet) CVSS skorlarına sahiptir. Birlikte zincirlendiğinde, Rapid7’deki araştırmacılar Söz konusu, kimliği doğrulanmamış bir saldırgan, sunucu tarafı şablon kalıplarını enjekte etmek ve yüksek şiddetli kusurdan yararlanmak için bir Web API uç noktasına ulaşabilir.
Güvenlik araştırmacısı Ryan Emmons’a göre, Rapid7 kavram kanıtı istismarlarını test etti ve çalıştıklarını doğruladı, ancak müşteri ortamlarında henüz onaylanmış bir sömürü görmedi.
Emmons, Ivanti’nin hangi açık kaynak kütüphanelerinin kusurun temel nedeni olarak atıfta bulunduğunu belirsiz olduğunu da sözlerine ekledi. Ivanti sözcüsü hemen yorum yapmak için müsait değildi.
Güvenlik sorunları ilk olarak ivanti’ye bildirildi ile Kesinsendika kurumları için siber güvenlik hizmeti.