شرکت Ivanti پچ‌هایی را برای چند آسیب‌پذیری در محصولات خود منتشر کرد، از جمله دو نقص روز صفر در Endpoint Manager Mobile (EPMM) که به‌صورت زنجیره‌ای در حملات واقعی مورد سوءاستفاده قرار گرفته بودند.
آسیب‌پذیری‌های Ivanti EPMM
دو آسیب‌پذیری مربوط به EPMM، با شناسه‌های CVE-2025-4427 (امتیاز CVSS: ۵.۳) و CVE-2025-4428 (امتیاز CVSS: ۷.۲)، به‌ترتیب نقص دور زدن احراز هویت و اجرای کد از راه دور (RCE) در دو کتابخانه متن‌باز استفاده‌شده در EPMM هستند. این نقص‌ها به مهاجم راه‌دور و بدون احراز هویت امکان اجرای کد دلخواه را می‌دهند.
Ivanti اعلام کرد که در حال همکاری با مدیران کتابخانه‌های آسیب‌پذیر است تا تأثیر این نقص‌ها بر وابستگی‌های متن‌باز را ارزیابی کرده و نیاز به تخصیص شناسه‌های CVE جدید را بررسی کند. گزارش‌ها حاکی از آن است که تعداد بسیار محدودی از مشتریان در زمان افشای این آسیب‌پذیری‌ها مورد حمله قرار گرفته بودند.
این شرکت تأکید کرد که فیلتر کردن دسترسی به API از طریق قابلیت ACL در پرتال یا با استفاده از فایروال اپلیکیشن وب (WAF) خارجی، خطر نفوذ را به‌طور قابل‌توجهی کاهش می‌دهد.
پچ‌های این آسیب‌پذیری‌های روز صفر در نسخه‌های 11.12.0.5، 12.3.0.2، 12.4.0.2 و 12.5.0.1 از EPMM اعمال شده‌اند. به تمام کاربران نسخه داخلی (On-Premise) این محصول اکیدا توصیه شده است که این پچ‌ها را در اسرع وقت اعمال کنند. Ivanti منابع و تیم‌های پشتیبانی بیشتری را برای کمک به مشتریان در نصب پچ‌ها و رفع نگرانی‌هایشان اختصاص داده و اطلاعات دقیق را در مشاوره امنیتی خود ارائه کرده است.
دیگر آسیب‌پذیری‌ها
علاوه بر این، Ivanti پچ‌هایی برای سه نقص دیگر در محصولات Neurons for ITSM، Cloud Security Application (CSA) و Neurons for MDM (N-MDM) منتشر کرد که تاکنون گزارشی از سوءاستفاده از آن‌ها ثبت نشده است.
- نقص CVE-2025-22462 (امتیاز CVSS: ۹.۸) در نسخه داخلی Neurons for ITSM یک آسیب‌پذیری بحرانی دور زدن احراز هویت است که می‌تواند به مهاجم راه‌دور امکان دسترسی به سطح مدیریتی را بدهد.
- همچنین، نقص CVE-2025-22460 در CSA، که یک آسیب‌پذیری با شدت بالا مرتبط با اطلاعات کاربری پیش‌فرض است، می‌تواند به مهاجم محلی اجازه افزایش سطح دسترسی دهد.
- در N-MDM نیز یک نقص با شدت متوسط از نوع مجازسازی نادرست، بدون شناسه CVE، اصلاح شده که می‌تواند به مهاجم راه‌دور و بدون احراز هویت امکان دستکاری منابع را بدهد.
