Критические уязвимости в версиях Ivanti Endpoint Manager

Поставщик программного обеспечения Ivanti недавно выпустил обновления безопасности для устранения нескольких уязвимостей в своих продуктах Avalanche, Application Control Engine и Endpoint Manager (EPM), среди которых четыре критические уязвимости в EPM.

Критические уязвимости, каждая из которых имеет оценку 9.8 по шкале CVSS, являются проблемами обхода пути в EPM, которые могут позволить удалённым, неаутентифицированным злоумышленникам получить доступ к конфиденциальной информации.

Затронутые уязвимости включают:

• CVE-2024-10811

• CVE-2024-13159

• CVE-2024-13160

• CVE-2024-13161

Уязвимости, которые затронули версии EPM до обновления безопасности ноября 2024 года или обновления безопасности SU6 ноября 2022 года, были устранены в обновлениях января 2025 года.

Зак Хэнли, исследователь безопасности из Horizon3.ai, был отмечен за выявление и сообщение об этих проблемах.

Кроме того, Ivanti устранил несколько уязвимостей высокой степени серьезности в Avalanche (версии до 6.4.7) и Application Control Engine (версии до 10.14.4.0).

Эти недостатки могут позволить злоумышленникам обойти механизмы аутентификации, получить доступ к конфиденциальным данным или отключить блокировку приложений.

Хотя Ivanti не нашел доказательств эксплуатации этих уязвимостей в дикой природе, компания усилила свои внутренние процессы, такие как сканирование и тестирование, чтобы более эффективно выявлять и устранять потенциальные риски.

Отдельно SAP выпустила критические патчи для своего сервера NetWeaver ABAP и платформы ABAP для исправления уязвимостей CVE-2025-0070 и CVE-2025-0066, обе из которых получили оценку 9.9 по шкале CVSS.

Эти недостатки могут позволить аутентифицированным злоумышленникам обойти проверки аутентификации, повысить привилегии и получить доступ к ограниченной информации.

Отдельно SAP выпустила критические обновления для своего сервера NetWeaver ABAP и платформы ABAP, устраняя уязвимости CVE-2025-0070 и CVE-2025-0066, обе из которых получили оценку 9.9 по шкале CVSS.

Эти недостатки могут позволить аутентифицированным злоумышленникам обойти проверки аутентификации, повысить привилегии и получить доступ к ограниченной информации.

«SAP настоятельно рекомендует клиентам посетить Портал поддержки и приоритизировать применение патчей для защиты своей SAP-инфраструктуры», - говорится в бюллетене компании за январь 2025 года.