Ranjivosti u Ivanti EPMM softveru
Dana 12. srpnja 2024., tvrtka Ivanti je objavila sigurnosno upozorenje o ranjivostima u svom softverskom rješenju Ivanti Endpoint Manager Mobile (EPMM), ranije poznatom kao MobileIron, koje mogu dovesti do udaljenog izvršavanja kôda (engl. remote code execution – RCE), zaobilaženja autentifikacije i otkrivanja osjetljivih informacija. Preporučuje se žurno ažuriranje zahvaćenih sustava.
Tehnički detalji značajnih ranjivosti otklonjenih ovim ažuriranjem:
- Ranjivost CVE-2024-36130 (CVSS ocjena 9.8) je nedostatak nedovoljnih autorizacijskih provjera u web komponenti EPMM-a koji omogućava neautoriziranom napadaču unutar mreže izvršavanje proizvoljnih naredbi na temeljnom operativnom sustavu uređaja.
- Ranjivost CVE-2024-36131 (CVSS ocjena 8.8) je nedostatak nesigurne deserijalizacija u web komponenti EPMM-a koji omogućava autentificiranom udaljenom napadaču izvršavanje proizvoljnih naredbi na temeljnom operativnom sustavu uređaja.
- Ranjivost CVE-2024-36132 (CVSS ocjena 8.2) je nedostatak nedovoljnih provjera u kontrolama autentifikacije EPMM-a koji omogućava udaljenom napadaču zaobilaženje autentifikacije i pristup osjetljivim resursima.
- Ranjivost CVE-2024-34788 (CVSS ocjena 5.3) je nedostatak neispravne autentifikacije u web komponenti EPMM-a koji omogućava zlonamjernom udaljenom korisniku pristup potencijalno osjetljivim informacijama.
Zahvaćeni proizvodi:
- verzije EPMM-a prije 12.1.0.1.
Preporuke:
Preporučuje se žurno ažuriranje ranjivih sustava na najnoviju dostupnu verziju.
Više informacija moguće je pročitati na poveznicama u nastavku:
- https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-for-Mobile-EPMM-July-2024?language=en_US
- https://www.securityweek.com/ivanti-issues-hotfix-for-high-severity-endpoint-manager-vulnerability/
[inicijalna objava: 22.07.2024 - 11:55]
Normativni akti
- Ustav Republike Hrvatske
- Strategija nacionalne sigurnosti
- Zakon o sustavu domovinske sigurnosti
- Zakon o sigurnosno-obavještajnom sustavu RH
- Zakon o tajnosti podataka
- Zakon o informacijskoj sigurnosti
- Uredba o mjerama informacijske sigurnosti
- Nacionalna strategija kibernetičke sigurnosti i Akcijski plan za provedbu Nacionalne strategije kibernetičke sigurnosti
- Zakon o provedbi Uredbe (EU) 2019/881 Europskog parlamenta i Vijeća od 17. travnja 2019. (Zakon o provedbi kibernetičke sigurnosne certifikacije)
- Zakon o kibernetičkoj sigurnosti
- Odluka o provedbi Odluke br. 1104/2011/EU Europskog parlamenta i Vijeća od 25. listopada 2011. o pravilima za pristup javno reguliranoj usluzi koju pruža globalni navigacijski satelitski sustav uspostavljen u sklopu programa Galileo
- Smjernice za postupanje s neklasificiranim podacima