شرکت Ivanti بیش از دوازده آسیب‌پذیری در محصول Endpoint Manager خود را وصله کرده است؛ از جمله یک نقص با شدت بالا که امکان دور زدن احراز هویت و سرقت اطلاعات ورود را از راه دور فراهم می‌کرد. این آسیب‌پذیری با شناسه CVE-۲۰۲۶-۱۶۰۳ و امتیاز CVSS برابر با ۸.۶ ردیابی می‌شود و مهاجمان می‌توانستند بدون نیاز به احراز هویت و به‌صورت ریموت از آن سوءاستفاده کنند.
این نقص در نسخه‌های پیش از ۲۰۲۴ SU5 در Ivanti Endpoint Manager وجود داشت و به یک مهاجم از راه دور و بدون احراز هویت اجازه می‌داد بخشی از اطلاعات ذخیره‌شده مربوط به اعتبارنامه‌ها را افشا کند.
در بیانیه رسمی آمده است:
«یک نقص دور زدن احراز هویت در Ivanti Endpoint Manager پیش از نسخه ۲۰۲۴ SU5 به یک مهاجم از راه دور و بدون احراز هویت اجازه می‌دهد برخی داده‌های ذخیره‌شده مرتبط با اعتبارنامه‌ها را افشا کند.»
همچنین شرکت یک آسیب‌پذیری با شدت متوسط از نوع SQL Injection را با شناسه CVE-۲۰۲۶-۱۶۰۲ و امتیاز CVSS برابر با ۶.۵ برطرف کرده است. این نقص در نسخه‌های پیش از ۲۰۲۴ SU5 وجود داشت.
در اطلاعیه امنیتی آمده است:
«آسیب‌پذیری SQL Injection در Ivanti Endpoint Manager پیش از نسخه ۲۰۲۴ SU5 به یک مهاجم احراز هویت‌شده از راه دور اجازه می‌دهد داده‌های دلخواهی را از پایگاه داده بخواند.»
آسیب‌پذیری‌ها در نوامبر ۲۰۲۴ توسط تیم Zero Day Initiative شرکت Trend Micro به Ivanti گزارش شده بودند. مهاجمان می‌توانستند با سوءاستفاده از این باگ‌ها سطح دسترسی خود را افزایش دهند و حتی اجرای کد از راه دور انجام دهند.
Ivanti اعلام کرده که پیش از افشای عمومی، هیچ نشانه‌ای از سوءاستفاده فعال از این آسیب‌پذیری‌ها در دنیای واقعی مشاهده نکرده است.
نسخه EPM ۲۰۲۴ SU5 هر دو آسیب‌پذیری فوق را برطرف کرده است.
در دسامبر نیز این شرکت یک آسیب‌پذیری جدید با شناسه CVE-۲۰۲۵-۱۰۵۷۳ و امتیاز CVSS برابر با ۹.۶ را در Endpoint Manager اصلاح کرده بود. این نقص از نوع Stored XSS بوده است.
در اطلاعیه مربوطه آمده است:
«آسیب‌پذیری Stored XSS در Ivanti Endpoint Manager پیش از نسخه ۲۰۲۴ SU4 SR1 به یک مهاجم از راه دور و بدون احراز هویت اجازه می‌دهد در بستر نشست یک ادمین، کد JavaScript دلخواه اجرا کند. این حمله نیازمند تعامل کاربر است.»
این نقص نسخه‌های پیش از ۲۰۲۴ SU4 SR1 را تحت تأثیر قرار می‌دهد.
