Ivanti heeft beveiligingsupdates vrijgegeven om twee beveiligingsfouten in Endpoint Manager Mobile (EPMM) -software aan te pakken die zijn geketend in aanvallen om externe code -uitvoering te krijgen.
De kwetsbaarheden in kwestie worden hieronder vermeld –
- CVE-2025-4427 (CVSS -score: 5.3) – Een authenticatie -bypass in Ivanti Endpoint Manager Mobile waarmee aanvallers toegang hebben tot beschermde bronnen zonder de juiste referenties
- CVE-2025-4428 (CVSS -score: 7.2) – Een externe code -uitvoeringskwetsbaarheid in Ivanti Endpoint Manager Mobile waarmee aanvallers willekeurige code op het doelsysteem kunnen uitvoeren
De fouten beïnvloeden de volgende versies van het product –
- 11.12.0.4 en prior (vastgelegd in 11.12.0.5)
- 12.3.0.1 en prior (vast in 12.3.0.2)
- 12.4.0.1 en prior (vast in 12.4.0.2)
- 12.5.0.0 en prior (vastgelegd in 12.5.0.1)
Ivanti, die Cert-EU heeft gecrediteerd voor het melden van de problemen, zei dat het “op de hoogte is van een zeer beperkt aantal klanten die zijn uitgebuit op het moment van openbaarmaking” en dat de kwetsbaarheden “worden geassocieerd met twee open-source bibliotheken geïntegreerd in EPMM”.
Het bedrijf heeft echter de namen van de getroffen bibliotheken echter niet bekendgemaakt. Het is ook niet bekend welke andere softwaretoepassingen op de twee bibliotheken kunnen worden beïnvloed. Bovendien zei het bedrijf dat het nog steeds de gevallen onderzoekt en dat het geen betrouwbare indicatoren heeft voor een compromis geassocieerd met de kwaadaardige activiteit.
“Het risico voor klanten is aanzienlijk verminderd als ze al de toegang tot de API filteren met behulp van de ingebouwde Portal ACLS-functionaliteit of een externe webtoepassing firewall,” merkte Ivanti op.
“Het probleem is alleen van invloed op het on-prem EPMM-product. Het is niet aanwezig in Ivanti-neuronen voor MDM, Ivanti’s cloudgebaseerde uniforme endpoint managementoplossing, Ivanti Sentry of andere Ivanti-producten.”
Afzonderlijk heeft Ivanti ook patches verzonden om een authenticatie-bypass-fout te bevatten in on-premise versies van neuronen voor ITSM (CVE-2025-22462, CVSS-score: 9.8) waarmee een externe niet-authenticeerde aanvaller toegang tot het systeem kan krijgen. Er is geen bewijs dat het beveiligingsdefect in het wild is benut.
Met nuldagen in Ivanti-apparaten die de afgelopen jaren een bliksemafstand voor dreigingsacteurs worden, is het noodzakelijk dat gebruikers snel overstappen om hun instanties bij te werken naar de nieuwste versies voor optimale bescherming.
