Padtraversering in Ivanti Endpoint Manager vóór 2024 November Security Update of 2022 SU6 November Security Update maakt het een externe geauthenticeerde aanvaller met admin-rechten mogelijk om remote code (remote code) te bereiken.

Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid kan leiden tot remote code execution (RCE) op het getroffen systeem. Dit betekent dat een aanvaller, met de juiste privileges, willekeurige code kan uitvoeren op de Ivanti Endpoint Manager server. De impact is significant, aangezien dit kan resulteren in volledige controle over het systeem, data-exfiltratie, installatie van malware, en verdere aanval op andere systemen binnen het netwerk. De mogelijkheid tot remote code execution maakt dit een kritieke kwetsbaarheid die onmiddellijke aandacht vereist. Het is vergelijkbaar met scenario's waarbij een aanvaller toegang krijgt tot gevoelige configuratiebestanden en deze misbruikt om verdere toegang te verkrijgen.

Organizations heavily reliant on Ivanti Endpoint Manager for managing a large number of endpoints are particularly at risk. This includes organizations with legacy Ivanti Endpoint Manager deployments that have not been regularly updated. Shared hosting environments where multiple customers share the same Ivanti Endpoint Manager instance are also vulnerable, as a compromise of one customer's account could potentially impact others.

• windows / supply-chain:

Get-WinEvent -LogName Security -Filter "EventID = 4625 -Message contains 'Ivanti Endpoint Manager'" | Where-Object {$_.Properties[0].Value -match '\\'}

• windows / supply-chain:

Get-ScheduledTask | Where-Object {$_.TaskName -match 'Ivanti Endpoint Manager'}

• windows / supply-chain:

reg query "HKLM\Software\Ivanti\Endpoint Manager" /v UnauthorizedAccess

1. 2024-11-12Disclosure

   disclosure

1. Gereserveerd2024-10-22
2. Gepubliceerd2024-11-12
3. Gewijzigd2024-11-19
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie is het upgraden van Ivanti Endpoint Manager naar de 2024 November Security Update. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegang tot de beheerdersinterface en het implementeren van strikte toegangscontroles. Het configureren van een Web Application Firewall (WAF) met regels die path traversal pogingen detecteren en blokkeren kan ook helpen. Monitor de Ivanti Endpoint Manager logs op verdachte activiteit, zoals ongebruikelijke bestandstoegangsverzoeken. Een YARA-regel die zoekt naar patronen die wijzen op path traversal exploits kan worden geïmplementeerd.