Teils kritische Sicherheitslücken in Ivanti Endpoint Manager
- Warnmeldung
Die CSBW warnt vor teils kritischen Schwachstellen im Endpoint Manager (EPM) von Ivanti. Das Unternehmen stellt eine abgesicherte Version zur Verfügung, die die Lücken behebt.
© Generiert mit Adobe Firefly
Lücken geschlossen
In einer Sicherheitswarnung vom 8. Dezember 2025 meldet der Hersteller Ivanti, dass die folgenden Sicherheitslücken in seinem Programm EPM behoben seien:
- CVE-2025-10573 (EUVD-2025-202300) mit einem CVSS-Score von 9.6/10 ermöglicht Angreifenden, JavaScript-Code in Admin-Sessions auszuführen.
- CVE-2025-13659 (EUVD-2025-202287) mit einem CVSS-Score von 8.8/10 ermöglicht Angreifenden, Dateien auf den Server zu laden. Dadurch ist Remote Code Execution (RCE) möglich.
- CVE-2025-13662 (EUVD-2025-202297) mit einem CVSS-Score von 7.8/10 ermöglicht Angreifenden RCE aufgrund mangelhafter Signaturprüfung.
- CVE-2025-13661 (EUVD-2025-202288) mit einem CVSS-Score von 7.1/10 ermöglicht Angreifenden, Dateien außerhalb der dafür vorgesehenen Verzeichnisse abzulegen.
Um die 4 Schwachstellen ausnutzen zu können, ist zusätzlich jeweils eine Nutzerinteraktion nötig.
Mit der Version EPM 2024 SU4 SR1 stellt Ivanti ein Update bereit, das die Lücken behebt.
Empfehlung
Installieren Sie umgehend die EPM-Version EPM 2024 SU4 SR1.