IT ソフトウェア ベンダーの Ivanti は最近、Avalanche、Application Control Engine、および Endpoint Manager (EPM) 製品の複数の脆弱性に対処するセキュリティ アップデートをリリースしました。その中には EPM の 4 つの重大な脆弱性も含まれています。
それぞれ CVSS スケールで 9.8 のスコアを持つこの重大な脆弱性は、EPM におけるパス トラバーサルの問題であり、リモートの認証されていない攻撃者が機密情報にアクセスできる可能性があります。
影響を受ける欠陥には次のものがあります。
- CVE-2024-10811
- CVE-2024-13159
- CVE-2024-13160
- CVE-2024-13161
2024 年 11 月セキュリティ アップデートまたは 2022 SU6 11 月セキュリティ アップデートより前の EPM バージョンに影響を与えた脆弱性は、2025 年 1 月のアップデートで解決されました。
Horizon3.ai のセキュリティ研究者である Zach Hanley は、これらの問題を特定して報告したとされています。
さらに、Ivanti は、Avalanche (6.4.7 より前のバージョン) と Application Control Engine (10.14.4.0 より前のバージョン) のいくつかの高重大度の問題にパッチを適用しました。
これらの欠陥により、攻撃者が認証メカニズムをバイパスしたり、機密データにアクセスしたり、アプリケーションのブロックを無効にしたりできる可能性があります。
Ivanti では、これらの脆弱性が実際に悪用されているという証拠は見つかっていませんが、潜在的なリスクをより効率的に特定して対処するために、スキャンやテストなどの内部プロセスを強化しています。
これとは別に、SAP は NetWeaver ABAP サーバーと ABAP プラットフォームの脆弱性 CVE-2025-0070 および CVE-2025-0066 を修正するための重要なパッチをリリースしました。これらの脆弱性はいずれも CVSS スケールで 9.9 でした。
これらの欠陥により、認証された攻撃者が認証チェックをバイパスし、権限を昇格させ、制限された情報にアクセスできる可能性があります。
これとは別に、SAP は NetWeaver ABAP サーバーと ABAP プラットフォームの重要なアップデートを公開し、CVSS スケールでスコア 9.9 の脆弱性 CVE-2025-0070 および CVE-2025-0066 に対処しました。
これらの欠陥により、認証された攻撃者が認証チェックをバイパスし、権限を昇格させ、制限された情報にアクセスできる可能性があります。
「SAP は、お客様が次のサイトにアクセスすることを強くお勧めします。サポートポータルSAP 環境を保護するために優先的にパッチを適用します」と同社は述べています。言った2025年1月の会報で。
