Η κρίσιμη ευπάθεια Ivanti EPM επιτρέπει την παραβίαση περιόδου λειτουργίας διαχειριστή μέσω αποθηκευμένου XSS

Μια κρίσιμη αποθηκευμένη ευπάθεια δέσμης ενεργειών μεταξύ τοποθεσιών σε εκδόσεις Ivanti Endpoint Manager (“EPM”) 2024 SU4 και νεότερες εκδόσεις, που θα μπορούσε να επιτρέψει στους εισβολείς να παραβιάσουν τις περιόδους λειτουργίας διαχειριστή χωρίς έλεγχο ταυτότητας.

Το θέμα ευπάθειας, που προσδιορίστηκε ως CVE-2025-10573, έλαβε βαθμολογία CVSS 9,6 και διορθώθηκε στις 9 Δεκεμβρίου 2025, με την κυκλοφορία της έκδοσης Ivanti EPM 2024 SU4 SR1.

Ένας εισβολέας με πρόσβαση χωρίς έλεγχο ταυτότητας στην κύρια υπηρεσία Ιστού EPM μπορεί να ενώσει πλαστά διαχειριζόμενα τελικά σημεία στον διακομιστή EPM. Δηλητηρίαση του πίνακα ελέγχου ιστού του διαχειριστή με κακόβουλο JavaScript.

Όταν ένας διαχειριστής Ivanti EPM βλέπει τον μολυσμένο πίνακα εργαλείων κατά τη διάρκεια κανονικών λειτουργιών.

Η παθητική αλληλεπίδραση με τον χρήστη ενεργοποιεί την εκτέλεση JavaScript από την πλευρά του πελάτη, παρέχοντας στον εισβολέα πλήρη έλεγχο της περιόδου λειτουργίας του διαχειριστή.

Η ευπάθεια προέρχεται από το web API «incomingdata», το οποίο επεξεργάζεται δεδομένα σάρωσης συσκευών χωρίς την κατάλληλη επικύρωση εισόδου.

Οι εισβολείς μπορούν να υποβάλουν κακόβουλα ωφέλιμα φορτία μέσω αυτού του μη επαληθευμένου τελικού σημείου. Στη συνέχεια αποθηκεύονται στη βάση δεδομένων της συσκευής και αποδίδονται με ασφάλεια στη διεπαφή του πίνακα εργαλείων διαχειριστή.

Ένας εισβολέας χωρίς έλεγχο ταυτότητας μπορεί να δημιουργήσει ένα αίτημα POST στο τελικό σημείο ‘/incomingdata/postcgi.exe’. Περιέχει ωφέλιμα φορτία XSS ενσωματωμένα σε πεδία σάρωσης συσκευής, όπως Αναγνωριστικό συσκευής, Εμφανιζόμενο όνομα ή Όνομα λειτουργικού συστήματος.

Αυτά τα ωφέλιμα φορτία επεξεργάζονται αυτόματα και προστίθενται στη βάση δεδομένων της συσκευής χωρίς απολύμανση. Όταν οι διαχειριστές έχουν πρόσβαση σε σελίδες του πίνακα ελέγχου ιστού που εμφανίζουν πληροφορίες συσκευής.

Συμπεριλαμβανομένων των “frameset.aspx” και “db_frameset.aspx”, τα κακόβουλα σενάρια εκτελούνται στα προγράμματα περιήγησής τους.

Το Ivanti EPM είναι ένα ευρέως διαδεδομένο λογισμικό διαχείρισης τελικών σημείων που χρησιμοποιείται από οργανισμούς για απομακρυσμένη διαχείριση, σάρωση ευπάθειας και διαχείριση συμμόρφωσης.

Η επιτυχής εκμετάλλευση επιτρέπει στους εισβολείς να ελέγχουν εξ αποστάσεως τα τελικά σημεία και να εγκαθιστούν μη εξουσιοδοτημένο λογισμικό, καθιστώντας αυτήν την ευπάθεια ιδιαίτερα επικίνδυνη.

Σύμφωνα με Rapid7Οι οργανισμοί θα πρέπει να αναβαθμίσουν αμέσως στην έκδοση Ivanti EPM 2024 SU4 SR1. Επειδή αυτή η ευπάθεια δεν έχει επικυρωθεί, η επιδιόρθωση των παρουσιών που επηρεάζονται το συντομότερο δυνατό είναι κρίσιμη.