Ivanti hat zwei Sicherheitsmitteilungen herausgegeben. Darin warnt der Hersteller vor laufenden Angriffen auf Schwachstellen in Ivantis Endpoint Manager Mobile (EPMM) und stopft ein Sicherheitsleck in Ivanti Neurons for ITSM. IT-Verantwortliche sollten umgehend die bereitstehenden Aktualisierungen anwenden.
In der Sicherheitsmeldung zu Ivantis Endpoint Manager Mobile informieren die Entwickler über zwei Sicherheitslücken. Die gravierendere Schwachstelle erlaubt das Einschleusen von Schadcode (CWE-94, Improper Control of Generation of Code). Ivanti liefert keinerlei Details dazu, sondern schreibt lediglich, dass Angreifer aus dem Netz Schadcode auf dem Zielsystem ausführen können (CVE-2025-4428 / EUVD-2025-14387, CVSS 7.2, Risiko "hoch").
Die zweite Lücke ermöglicht Ivantis Beschreibung zufolge die Umgehung der Authentifizierung und dadurch unbefugten Zugriff auf eigentlich geschützte Ressourcen (CVE-2025-4427 / EUVD-2025-14388, CVSS 5.3, Risiko "mittel"). "Wenn die Lücken verknüpft werden, kann ein erfolgreicher Missbrauch zur Ausführung von Schadcode ohne vorherige Authentifizierung führen", schreibt Ivanti. Das Unternehmen weiß demnach von einer begrenzten Zahl von Kunden, deren Installationen zum Meldungszeitpunkt erfolgreich attackiert wurden.
Für mehrere Versionszweige von Ivanti Endpoint Manager Mobile stellt Ivanti aktualisierte Softwarefassungen bereit: 12.5.0.1, 12.4.0.2, 12.3.0.2 und 11.12.0.5. Sie sind im Download-Portal von Ivanti verfügbar.
Außerdem warnt Ivanti vor einer kritischen Sicherheitslücke in Ivanti Neurons for ITSM, die On-Premises-Installationen betrifft. Je nach Konfiguration erlaubt sie Angreifern, administrativen Zugang zum System zu erlangen. Es handelt sich um eine mögliche Umgehung der Authentifizierung, die Ivanti EPMM 2024.3, 2024.2 und 2023.4 betrifft. Der Mai-2025-Sicherheitspatch stopft das Leck (CVE-2025-22462 / EUVD-2025-14498, CVSS 9.8, Risiko "kritisch").
Anfang April hatte Ivanti eine Sicherheitslücke in der VPN-Software Connect Secure falsch eingeschätzt. Was die Entwickler zunächst lediglich als Bug einsortierten, entpuppte sich als veritables Sicherheitsleck, das Kriminelle im Netz dann sogar angegriffen haben.
(
Kommentare