พบช่องโหว่ร้ายแรงในเวอร์ชัน Ivanti Endpoint Manager

เมื่อเร็วๆ นี้ Ivanti ผู้จำหน่ายซอฟต์แวร์ไอทีได้เปิดตัวการอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ต่างๆ ในผลิตภัณฑ์ Avalanche, Application Control Engine และ Endpoint Manager (EPM) ซึ่งรวมถึงช่องโหว่ร้ายแรงสี่รายการใน EPM

ช่องโหว่ที่สำคัญซึ่งแต่ละจุดได้คะแนน 9.8 ในระดับ CVSS คือปัญหาการข้ามเส้นทางใน EPM ที่อาจทำให้ผู้โจมตีระยะไกลที่ไม่ได้รับการรับรองความถูกต้องสามารถเข้าถึงข้อมูลที่ละเอียดอ่อนได้

ข้อบกพร่องที่ได้รับผลกระทบ ได้แก่ :

• CVE-2024-10811
• CVE-2024-13159
• CVE-2024-13160
• CVE-2024-13161

ช่องโหว่ที่ส่งผลกระทบต่อเวอร์ชัน EPM ก่อนการอัปเดตความปลอดภัยเดือนพฤศจิกายน 2024 หรือการอัปเดตความปลอดภัย SU6 พฤศจิกายน 2022 ได้รับการแก้ไขแล้วในการอัปเดตเดือนมกราคม 2025

Zach Hanley นักวิจัยด้านความปลอดภัยจาก Horizon3.ai ได้รับการยกย่องในการระบุและรายงานปัญหาเหล่านี้

นอกจากนี้ Ivanti ยังแก้ไขปัญหาที่มีความรุนแรงสูงหลายประการใน Avalanche (เวอร์ชันก่อน 6.4.7) และ Application Control Engine (เวอร์ชันก่อน 10.14.4.0)

ข้อบกพร่องเหล่านี้อาจทำให้ผู้โจมตีสามารถเลี่ยงผ่านกลไกการตรวจสอบสิทธิ์ เข้าถึงข้อมูลที่ละเอียดอ่อน หรือปิดใช้งานการบล็อกแอปพลิเคชันได้

แม้ว่า Ivanti จะไม่พบหลักฐานว่ามีช่องโหว่เหล่านี้ถูกนำไปใช้ประโยชน์อย่างแพร่หลาย แต่บริษัทก็ได้เพิ่มกระบวนการภายใน เช่น การสแกนและการทดสอบ เพื่อระบุและจัดการกับความเสี่ยงที่อาจเกิดขึ้นได้อย่างมีประสิทธิภาพมากขึ้น

SAP ได้เปิดตัวแพทช์ที่สำคัญสำหรับ NetWeaver ABAP Server และแพลตฟอร์ม ABAP เพื่อแก้ไขช่องโหว่ CVE-2025-0070 และ CVE-2025-0066 ซึ่งทั้งสองช่องโหว่ได้คะแนน 9.9 ในระดับ CVSS

ข้อบกพร่องเหล่านี้อาจทำให้ผู้โจมตีที่ได้รับการรับรองความถูกต้องสามารถเลี่ยงผ่านการตรวจสอบความถูกต้อง เพิ่มระดับสิทธิ์ และเข้าถึงข้อมูลที่ถูกจำกัดได้

SAP ได้เปิดตัวการอัปเดตที่สำคัญสำหรับ NetWeaver ABAP Server และแพลตฟอร์ม ABAP โดยแก้ไขช่องโหว่ CVE-2025-0070 และ CVE-2025-0066 ซึ่งทั้งสองช่องโหว่ได้คะแนน 9.9 ในระดับ CVSS

ข้อบกพร่องเหล่านี้อาจทำให้ผู้โจมตีที่ผ่านการตรวจสอบสิทธิ์สามารถข้ามการตรวจสอบสิทธิ์ เพิ่มระดับสิทธิ์ และเข้าถึงข้อมูลที่ถูกจำกัดได้

“SAP ขอแนะนำอย่างยิ่งให้ลูกค้าเยี่ยมชมพอร์ทัลสนับสนุนและใช้แพตช์ตามลำดับความสำคัญเพื่อปกป้องภูมิทัศน์ SAP” บริษัทพูดว่าในกระดานข่าวเดือนมกราคม 2025