Ivanti, kritik bir kimlik doğrulama baypas güvenlik açığını azaltan ITSM BT hizmet yönetimi çözümü için nöronları için güvenlik güncellemeleri yayınladı.
CVE-2025-22462 olarak izlenen güvenlik kusuru, kimlik doğrulanmamış saldırganların sistem konfigürasyonuna bağlı olarak düşük karmaşık saldırılarda piyasaya sürülmemiş sistemlere idari erişim elde etmesine izin verebilir.
Şirketin bugün yayınlanan bir güvenlik danışmanında vurgulandığı gibi, rehberliğini takip eden kuruluşlar saldırılara daha az maruz kalmaktadır.
Ivanti, “IVanti’nin IIS web sitesini güvence altına alma ve sınırlı sayıda IP adresine ve alan adına sınırlı erişimi takip eden müşterilerin çevreleri için azaltılmış bir risk var.” Dedi.
“Çözümün bir DMZ ile yapılandırıldığından emin olurlarsa, kullanıcıların çözümü şirket ağlarının dışından oturum açan müşterilerin de çevreleri için azaltılmış bir risk vardır.”
Ivanti, CVE-2025-22462’nin yalnızca 2023.4, 2024.2, 2024.3 ve daha erken sürümleri çalıştıran şirket içi örnekleri etkilediğini ve güvenlik açığının müşterileri hedeflemek için kullanıldığına dair hiçbir kanıt bulamadığını söyledi.
| Ürün adı | Etkilenen sürüm (ler) | Çözülen sürüm (ler) |
| ITSM için Ivanti Nöronları (sadece şirket içi) | 2023.4, 2024.2 ve 2024.3 | 2023.4 Mayıs 2025 Güvenlik Yaması 2024.2 Mayıs 2025 Güvenlik Yaması 2024.3 Mayıs 2025 Güvenlik Yaması |
Şirket ayrıca bugün müşterileri bulut hizmetleri cihazında (CSA) varsayılan kimlik bilgileri güvenlik kusuru (CVE-2025-22460) yamaya çağırdı ve bu da yerel kimlik doğrulamalı saldırganların savunmasız sistemlerde ayrıcalıkları artırmasına izin verebilir.
Bu güvenlik açığı vahşi doğada da kullanılmasa da, Ivanti, yamanın bugünün güvenlik güncellemelerini yükledikten sonra doğru bir şekilde uygulanmayacağı konusunda uyardı ve yöneticilerden sıfırdan yeniden yüklemelerini veya ağlarının potansiyel saldırılardan korunmasını sağlamak için bu hafifletme adımlarını kullanmasını istedi.
Ivanti, “Bir bulut hizmetleri uygulama kurulumu sürüm 5.0.5’e yükseltilirse, bu düzeltmenin amaçlandığı gibi otomatik olarak uygulanmadığı tespit edilmiştir. Bu, gelecekteki bir sürümde ele alınacaktır.” Dedi.
Geçen ay, şirket ayrıca, en az Mart 2025’in ortalarından beri kötü amaçlı yazılım dağıtmak için UNC5221 Çin bağlantılı casusluk grubu tarafından uzaktan kod yürütme saldırılarında sömürülen kritik bir bağlantı güvenli sıfır gününü yamaladı.
CISA ve FBI’ın Ocak ayında uyardığı gibi, tehdit aktörleri hala Eylül ayından bu yana savunmasız ağları ihlal etmek için yamalı Ivanti Cloud Service Cihazları (CSA) güvenlik açıklarından yararlanıyor.
Geçen yıl, şirketin VPN cihazlarını ve ICS, IPS ve ZTA ağ geçitlerini hedefleyen sıfır gün saldırılarında diğer birçok Ivanti güvenlik kusuru kullanıldı.
14 metrelik kötü niyetli eylemlerin analizine dayanarak, saldırıların% 93’ünün ve bunlara karşı nasıl savunulacağının arkasındaki en iyi 10 MITER ATT & CK tekniklerini keşfedin.