Ivanti Endpoint Manager 在 2024 年 11 月安全更新之前或 2022 SU6 年 11 月安全更新之前存在路径遍历漏洞，允许具有管理员权限的远程身份验证攻击者实现远程代码 (Remote Code Execution)。

攻击者可以利用此路径遍历漏洞，通过构造恶意的请求访问未经授权的文件或目录。由于 Ivanti Endpoint Manager 通常具有管理员权限，因此攻击者可以利用此漏洞在受影响的系统上执行任意代码，从而完全控制系统。这可能导致敏感数据泄露、系统被破坏或进一步的攻击活动。此漏洞的潜在影响非常严重，因为它允许攻击者绕过正常的安全控制，并获得对系统的完全访问权限。如果攻击者能够利用此漏洞，他们可以窃取敏感数据，例如用户凭据、财务信息和知识产权。

Organizations heavily reliant on Ivanti Endpoint Manager for managing a large number of endpoints are particularly at risk. This includes organizations with legacy Ivanti Endpoint Manager deployments that have not been regularly updated. Shared hosting environments where multiple customers share the same Ivanti Endpoint Manager instance are also vulnerable, as a compromise of one customer's account could potentially impact others.

• windows / supply-chain:

Get-WinEvent -LogName Security -Filter "EventID = 4625 -Message contains 'Ivanti Endpoint Manager'" | Where-Object {$_.Properties[0].Value -match '\\'}

• windows / supply-chain:

Get-ScheduledTask | Where-Object {$_.TaskName -match 'Ivanti Endpoint Manager'}

• windows / supply-chain:

reg query "HKLM\Software\Ivanti\Endpoint Manager" /v UnauthorizedAccess

1. 2024-11-12Disclosure

   disclosure

1. 已保留2024-10-22
2. 发布日期2024-11-12
3. 修改日期2024-11-19
4. EPSS 更新日期2026-04-02

缓解此漏洞的首要措施是立即将 Ivanti Endpoint Manager 升级至 2024 年 11 月安全更新版本。如果无法立即升级，可以考虑实施一些临时缓解措施，例如限制对 Ivanti Endpoint Manager 的访问，并审查所有用户帐户的权限。此外，可以配置 Web 应用防火墙 (WAF) 或代理服务器，以阻止恶意请求。监控 Ivanti Endpoint Manager 的日志文件，以检测任何可疑活动。升级后，请验证漏洞是否已成功修复，可以通过尝试访问受保护的资源来测试。