محقق نقاط ضعف بحرانی در نسخه‌های متعدد مدیر نقاط پایانی Ivanti را کشف کرد

شرکت Ivanti به‌روزرسانی‌های امنیتی را برای رفع چندین آسیب‌پذیری امنیتی در محصولات Avalanche، Application Control Engine و Endpoint Manager (EPM) منتشر کرده است که شامل چهار باگ بحرانی است که می‌تواند منجر به افشای اطلاعات شود. این چهار آسیب‌پذیری بحرانی که امتیاز ۹.۸ از ۱۰ در مقیاس CVSS دریافت کرده‌اند، همگی در EPM ریشه دارند و مربوط به نمونه‌هایی از absolute path traversal هستند که به مهاجم غیرمجاز از راه دور اجازه نشت اطلاعات حساس را می‌دهد. این نقص‌ها تحت عناوین CVE-2024-10811، CVE-2024-13161، CVE-2024-13160 و CVE-2024-13159 شناسایی شده‌اند و نسخه‌های EPM 2024 تا به‌روزرسانی امنیتی نوامبر و نسخه‌های قدیمی‌تر، و همچنین EPM 2022 SU6 تا به‌روزرسانی امنیتی نوامبر و نسخه‌های قدیمی‌تر را تحت تأثیر قرار می‌دهند.

Ivanti همچنین چندین باگ با شدت بالا در نسخه‌های Avalanche قبل از ۶.۴.۷ و Application Control Engine قبل از نسخه ۱۰.۱۴.۴.۰ را برطرف کرده که می‌تواند به مهاجم اجازه دور زدن احراز هویت، نشت اطلاعات حساس و دور زدن قابلیت مسدودسازی برنامه‌ها را بدهد. شرکت اعلام کرده که هیچ مدرکی مبنی بر سوءاستفاده از این آسیب‌پذیری‌ها در طبیعت ندارد و رویه‌های اسکن و تست داخلی خود را تشدید کرده است. در همین حال، SAP نیز رفع دو آسیب‌پذیری بحرانی در NetWeaver ABAP Server و ABAP Platform خود (CVE-2025-0070 و CVE-2025-0066 با امتیاز CVSS: ۹.۹) را اعلام کرده که به مهاجم احراز هویت شده اجازه سوءاستفاده از بررسی‌های نامناسب احراز هویت برای افزایش سطح دسترسی و دستیابی به اطلاعات محدود را می‌دهد.