Ivanti Endpoint Manager 版本中發現的嚴重漏洞

IT 軟件供應商 Ivanti 最近發布了安全更新，以解決其 Avalanche、應用程序控制引擎和端點管理器 (EPM) 產品中的多個漏洞，其中包括 EPM 中的四個嚴重漏洞。

這些關鍵漏洞的 CVSS 評分為 9.8，它們是 EPM 中的路徑遍歷問題，可能允許未經身份驗證的遠程攻擊者訪問敏感信息。

受影響的缺陷包括：

影響 2024 年 11 月安全更新或 2022 SU6 11 月安全更新之前的 EPM 版本的漏洞已在 2025 年 1 月更新中得到解決。

Horizon3.ai 的安全研究員 Zach Hanley 因識別和報告這些問題而受到讚譽。

此外，Ivanti 還修復了 Avalanche（6.4.7 之前的版本）和 Application Control Engine（10.14.4.0 之前的版本）中的幾個高嚴重性問題。

這些缺陷可能允許攻擊者繞過身份驗證機制、訪問敏感數據或禁用應用程序阻止。

儘管 Ivanti 沒有發現這些漏洞被大規模利用的證據，但該公司已加強掃描和測試等內部流程，以更有效地識別和解決潛在風險。

另外，SAP 還為其 NetWeaver ABAP 服務器和 ABAP 平台發布了關鍵補丁，以修復漏洞 CVE-2025-0070 和 CVE-2025-0066，這兩個漏洞的 CVSS 評分均為 9.9 分。

這些缺陷可能允許經過身份驗證的攻擊者繞過身份驗證檢查、升級權限並獲得對受限信息的訪問權限。

另外，SAP 還為其 NetWeaver ABAP 服務器和 ABAP 平台推出了重要更新，解決了漏洞 CVE-2025-0070 和 CVE-2025-0066，這兩個漏洞的 CVSS 評分均為 9.9 分。

這些缺陷可能會讓經過身份驗證的攻擊者繞過身份驗證檢查、升級權限並獲得對受限信息的訪問權限。

“SAP 強烈建議客戶訪問支持門戶並優先應用補丁來保護他們的 SAP 環境，”該公司說在 2025 年 1 月的公告中。