Ivanti, uzaktan kod yürütülmesi için saldırılara zincirlenmiş olan Endpoint Manager Mobile (EPMM) yazılımındaki iki güvenlik kusurunu ele almak için güvenlik güncellemeleri yayınladı.
Söz konusu güvenlik açıkları aşağıda listelenmiştir –
- CVE-2025-4427 (CVSS Puanı: 5.3) – Ivanti Endpoint Manager Mobile’da, saldırganların uygun kimlik bilgileri olmadan korunan kaynaklara erişmesine izin veren bir kimlik doğrulama baypası
- CVE-2025-4428 (CVSS Puanı: 7.2) – Ivanti Endpoint Manager Mobile’da Saldırganların Hedef Sistemde Rasgele Kod Yürütmesine İzin Veren Uzak Kod Yürütme Güvenlik Açığı
Kusurlar, ürünün aşağıdaki sürümlerini etkiler –
- 11.12.0.4 ve prior (11.12.0.5’te sabit)
- 12.3.0.1 ve prior (12.3.0.2’de sabit)
- 12.4.0.1 ve prior (12.4.0.2’de sabit)
- 12.5.0.0 ve prior (12.5.0.1’de sabit)
Cert-Eu’ya sorunları rapor ettiği için kredilendiren Ivanti, “açıklama sırasında sömürülen çok sınırlı sayıda müşterinin farkında olduğunu” ve güvenlik açıklarının “EPMM’ye entegre edilmiş iki açık kaynaklı kütüphane ile ilişkili olduğunu” söyledi.
Ancak şirket, etkilenen kütüphanelerin isimlerini açıklamamıştır. İki kütüphaneye dayanan diğer yazılım uygulamalarının da etkilenebileceği de bilinmemektedir. Ayrıca, şirket hala vakaları araştırdığını ve kötü niyetli aktivite ile ilişkili güvenilir uzlaşma göstergeleri olmadığını söyledi.
Ivanti, “Müşteriler için risk, yerleşik portal ACLS işlevini veya harici bir web uygulaması güvenlik duvarını kullanarak API’ya erişimi zaten filtreliyorlarsa önemli ölçüde azalıyor.”
“Sorun sadece şirket içi EPMM ürününü etkiler. MDM, Ivanti’nin bulut tabanlı birleşik uç nokta yönetimi çözümü, Ivanti Sentry veya diğer Ivanti ürünleri için Ivanti nöronlarında mevcut değildir.”
Ayrı ayrı, Ivanti ayrıca, uzaktan kalmamış bir saldırganın sisteme idari erişim kazanmasına izin verebilecek ITSM (CVE-2025-22462, CVSS skoru: 9.8) için nöronların şirket içi versiyonlarında bir kimlik doğrulama baypas kusuru içerecek şekilde yamalar gönderdi. Güvenlik kusurunun vahşi doğada kullanıldığına dair bir kanıt yoktur.
Ivanti cihazlarındaki sıfır günler son yıllarda tehdit aktörleri için bir paratoner haline geldikçe, kullanıcıların örneklerini optimum koruma için en son sürümlere güncellemek için hızlı bir şekilde hareket etmeleri zorunludur.