Kompanija Ivanti je otkrila dvije visoko rizične ranjivosti u svom proizvodu Endpoint Manager Mobile (EPMM). Ove ranjivosti bi mogle omogućiti udaljenim napadačima izvršavanje komandi na pogođenim sistemima, što potencijalno vodi do daljnjeg kompromitovanja.
Radi otklanjanja ovih problema, kompanija je izdala kritična ažuriranja i snažno apeluje na sve korisnike da ih odmah primijene kako bi zaštitili svoje okoline.
Ranljivosti u Ivanti EPMM
Ivanti je identifikovao dva propusta koji spadaju u kategoriju “OS command injection”, označeni kao CVE-2025-6770 i CVE-2025-6771. Ovi propusti se nalaze u verzijama Ivanti Endpoint Manager Mobile starijim od 12.5.0.2. Obje ranjivosti imaju CVSS ocjenu 7.2, što ukazuje na značajan nivo rizika.
One omogućavaju udaljenom, ovlaštenom napadaču sa visokim privilegijama da izvrši kod na daljinu, čime se ugrožava integritet, povjerljivost i dostupnost sistema. CVSS vektor za oba propusta je CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H, a klasifikovani su pod oznakom CWE-78 (OS Command Injection).
U trenutku objave, Ivanti je naveo da nema saznanja o aktivnom iskorištavanju ovih ranjivosti. Propusti su prijavljeni kroz program odgovorne objave kompanije, čime je osigurano da su zakrpe razvijene prije nego što su detalji o propustima postali javno dostupni i potencijalno zloupotrijebljeni.
Ranljivosti utiču na više verzija Ivanti Endpoint Manager Mobile. Detaljan pregled pogođenih i riješenih verzija je sljedeći:
Naziv proizvoda | Pogođene verzije | Riješene verzije | Dostupnost zakrpe
—|—|—|—
Ivanti Endpoint Manager Mobile | 12.5.0.1 i starije, 12.4.0.2 i starije, 12.3.0.2 i starije | 12.5.0.2, 12.4.0.3, 12.3.0.3 | Portal za preuzimanje (zahtijeva prijavu)
Korisnicima se toplo preporučuje da se ažuriraju na najnovije riješene verzije, 12.5.0.2, 12.4.0.3 ili 12.3.0.3, kako bi smanjili rizike povezane s ovim ranjivostima. Zakrpe su dostupne putem Ivanti portala za preuzimanje.
Ivanti je izrazio zahvalnost Piotru Bazydlu (@chudyPB) iz watchTowr-a na odgovornom prijavljivanju CVE-2025-6771 i saradnji na zaštiti korisnika.
Odgovarajući na zabrinutosti u vezi sa eksploatacijom, Ivanti je potvrdio da nijedan korisnik nije bio ugrožen ovim ranjivostima prije javnog objavljivanja. Nadalje, trenutno ne postoje poznati pokazatelji kompromitovanja, s obzirom na odsustvo javnih podataka o eksploataciji.
Organizacije se savjetuju da nadgledaju svoje sisteme i blagovremeno primijene dostavljena ažuriranja kako bi spriječile potencijalne prijetnje. Korisnici Ivanti proizvoda bi trebali djelovati brzo kako bi osigurali sigurnost svojih sistema od ovih kritičnih ranjivosti.
