Laburpen exekutiboa
Ivantik hainbat ahultasun kritiko identifikatu ditu Endpoint Manager Mobile (EPMM) eta Neurons for MDM produktuetako 12.6.0.2, 12.5.0.4 eta 12.4.0.4 bertsioak baino zaharragoetan. Ahultasun horietako hiru (CVSS 7.2) sistema eragileko komandoen injekzioa ahalbidetzen dute, erasotzaile autentifikatu batek administratzaile-pribilegioekin kode kaltegarria urrunetik exekutatzeko aukera izanik, sistemaren segurtasuna larri arriskuan jarriz. Gainera, “path traversal” motako ahultasun bat detektatu da (CVSS 4.7), erasotzaileak diskoan baimenik gabeko kokapenetan idazteko aukera ematen duena, datu sentikorren esposizioa eraginez. Ez da ustiapen aktiborik detektatu, baina gomendagarria da segurtasun-eguneraketak premiaz aplikatzea arrisku hauek arintzeko. Bertsio zuzenduen deskarga Ivanti-ren atarian eskuragarri dago.
Eragindako baliabideak
- Ivanti Neurons for MDM (R118 eta aurrekoak)
- Ivanti Endpoint Manager Mobile (EPMM) (12.6.0.1, 12.5.0.2, 12.4.0.3 eta aurreko guztiak)
Azterketa teknikoa
- CVE-2025-10243: Ivanti EPMM-ren administrazio panelean, 12.6.0.2, 12.5.0.4 eta 12.4.0.4 bertsioak baino lehen, sistema eragileko komandoen injezioa ahalbidetzen du, administratzaileko pribilejioak dituen erabiltzaile autentifikatu batek urrunetik kodea exekutatzea posible egiten duena. Ahultasun mota honek eragindako sistemaren segurtasuna larriki konprometitu dezake. Ahultasun hau esplotatzeko, erasotzaileak administrazio panelean sarbide administratiboa izan behar du.
- CWE-78
- CVSS: 7.2 (altua)
- CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
- Esplotazioa: Ez da detektatu
- CVE-2025-10242: Ivanti EPMM-ren administrazio panelean, 12.6.0.2, 12.5.0.4 eta 12.4.0.4 bertsioak baino lehen, sistema eragileko komandoen injezioa ahalbidetzen du, administratzaileko pribilejioak dituen erabiltzaile autentifikatu batek urrunetik kodea exekutatzea posible egiten duena. Potentzialeko eragina eragindako sistemaren kontrola hartzea barne hartzen du. Ahultasun hau esplotatzeko, erasotzaileak autentifikatutako sarbidea eta administratzaileko pribilejioak izan behar ditu.
- CWE-78
- CVSS: 7.2 (altua)
- CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
- Esplotazioa: Ez da detektatu
- CVE-2025-10985: Ivanti EPMM-ren administrazio panelean, 12.6.0.2, 12.5.0.4 eta 12.4.0.4 bertsioak baino lehen, sistema eragileko komandoen injezioa ahalbidetzen du, administratzaileko pribilejioak dituen erabiltzaile autentifikatu batek urrunetik kodea exekutatzea posible egiten duena. Potentzialeko eragina eragindako sistemaren kontrol osoa barne hartzen du. Ahultasun hau esplotatzeko, erasotzaileak administratzaileko pribilejioak izan behar ditu.
- CWE-78
- CVSS: 7.2 (altua)
- CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
- Esplotazioa: Ez da detektatu
- CVE-2025-10986: Ivanti EPMM-ren administrazio panelean, 12.6.0.2, 12.5.0.4 eta 12.4.0.4 bertsioak baino lehen, "path traversal" ahultasun bat dago, administratzaileko pribilejioak dituen erabiltzaile autentifikatu batek diskoan nahi ez diren tokietan datuak idaztea ahalbidetzen duena. Honek informazio kritikoaren aldaketa edo esposizioa ekar dezake. Esplotazioa lortzeko, erasotzaileak sistemaren administrazio sarbidea izan behar du.
- CWE-22
- CVSS: 4.7 (ertaina)
- CVSS bektorea: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L
- Esplotazioa: Ez da detektatu
Arintzea/Konponbidea
Ivanti-k Ivanti Neurons for MDM R119 bertsiora eguneratzea gomendatzen du, aurretik aipatutako ahultasunak konpontzen dituena. Gainera, Ivanti Endpoint Manager Mobile (EPMM) produktuentzat, 12.6.0.2, 12.5.0.4 eta 12.4.0.4 bertsioetara eguneratzea gomendatzen da, deskarga atarian eskuragarri (sarbide bat behar da). Eguneratze hauek komandoen injezioa eta beste segurtasun arazo kritikoak konpontzen dituzte.