Naslovnica
»
Sigurnosne objave » Višestruke ranjivosti u Ivanti Endpoint Manager Mobile (EPMM) softveru
Višestruke ranjivosti u Ivanti Endpoint Manager Mobile (EPMM) softveru
Dana 15. svibnja 2024. godine, tvrtka Ivanti objavila je sigurnosno upozorenje kojim se adresiraju višestruke ranjivosti u softveru Ivanti Endpoint Manager Mobile (EPMM), ranije poznatog pod nazivom MobileIron. Napadač iskorištava navedene nedostatke kako bi izvršio proizvoljne naredbe na uređaju.
Preporučuje se žurno ažuriranje zahvaćenih sustava na najnovije dostupne ispravljene verzije radi ublažavanja rizika štetnih posljedica povezanih s navedenim ranjivostima.
Tehnički detalji značajnih ranjivosti otklonjenih ovim ažuriranjem:
- Ranjivost CVE-2024-22026 (CVSS ocjena 6.7), je ranjivost lokalnog eskaliranja privilegija koja omogućuje autentificiranom korisniku, izrađivanjem i isporukom zlonamjernog RPM paketa, izvršavanje proizvoljnih naredbi s privilegijama root korisnika.
- Ranjivosti CVE-2023-46806 i CVE-2023-46807 (obje s CVSS ocjenom 6.7), su ranjivosti SQL umetanja (engl. SQL Injection - SQLi) u web komponenti EPMM-a, koje omogućuju autentificiranom korisniku s odgovarajućim privilegijama pristup ili izmjenu podataka u temeljnoj bazi podataka.
Zahvaćeni proizvodi:
- Verzije Ivanti Endpoint Manager Mobile (EPMM) 12.0 i ranije.
Preporuke:
Preporučuje se žurno ažuriranje ranjivog proizvoda na verziju 12.1.0.0 (u trenutku pisanja objave) ili najnoviju dostupnu inačicu.
Više informacija moguće je pročitati na poveznicama u nastavku:
- https://www.ivanti.com/blog/may-security-update
- https://forums.ivanti.com/s/article/KB-Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM-May-2024?language=en_US
- https://www.redlinecybersecurity.com/blog/exploiting-cve-2024-22026-rooting-ivanti-epmm-mobileiron-core
[inicijalna objava: 24.05.2024 - 15:50]
Normativni akti
- Ustav Republike Hrvatske
- Strategija nacionalne sigurnosti
- Zakon o sustavu domovinske sigurnosti
- Zakon o sigurnosno-obavještajnom sustavu RH
- Zakon o tajnosti podataka
- Zakon o informacijskoj sigurnosti
- Uredba o mjerama informacijske sigurnosti
- Nacionalna strategija kibernetičke sigurnosti i Akcijski plan za provedbu Nacionalne strategije kibernetičke sigurnosti
- Zakon o provedbi Uredbe (EU) 2019/881 Europskog parlamenta i Vijeća od 17. travnja 2019. (Zakon o provedbi kibernetičke sigurnosne certifikacije)
- Zakon o kibernetičkoj sigurnosti
- Odluka o provedbi Odluke br. 1104/2011/EU Europskog parlamenta i Vijeća od 25. listopada 2011. o pravilima za pristup javno reguliranoj usluzi koju pruža globalni navigacijski satelitski sustav uspostavljen u sklopu programa Galileo
- Smjernice za postupanje s neklasificiranim podacima