Suivi KEV › Ivanti

CVE-2023-35078 Ivanti Endpoint Manager Mobile : contournement de l'authentification

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 25 juillet 2023.

Produit : Ivanti Endpoint Manager Mobile (EPMM)
Ajoutée au catalogue : 25 juillet 2023
Échéance CISA : 15 août 2023
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-287
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : > 99,9 %
Technologie : Ivanti

Ivanti Endpoint Manager Mobile (EPMM, anciennement MobileIron Core) contient une vulnérabilité de contournement de l'authentification qui permet un accès non authentifié à des chemins d'API spécifiques. Un attaquant ayant accès à ces chemins d'API peut accéder à des informations personnellement identifiables (PII) telles que des noms, des numéros de téléphone et d'autres détails de périphériques mobiles pour les utilisateurs sur un système vulnérable. Un attaquant peut également effectuer d'autres modifications de configuration, y compris l'installation de logiciels et la modification des profils de sécurité sur les périphériques enregistrés.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · forums.ivanti.com

Gravité et exploitation

Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Exploitable à distance, par le réseau, sans compte, sans action de la victime.
Probabilité d’exploitation dans les 30 jours (EPSS) : > 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
Code d’exploitation public : signalé par la NVD.

Versions concernées

endpoint manager mobile : versions < 11.8.1.1
endpoint manager mobile : versions ≥ 11.9.0 et < 11.9.1.1
endpoint manager mobile : versions ≥ 11.10 et < 11.10.0.2

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

Authentification incorrecte (CWE-287) : Le produit ne prouve pas ou prouve insuffisamment que l'identité revendiquée par un acteur est correcte.

Chronologie

25 juillet 2023 — Publication de la CVE
25 juillet 2023 — Exploitation confirmée : ajout au catalogue KEV de la CISA
15 août 2023 — Échéance de correction pour les agences fédérales américaines

Références

Avis de l’éditeur : forums.ivanti.com
Avis de l’éditeur : forums.ivanti.com
Avis de l’éditeur : ivanti.com
Analyse : cisa.gov

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Ivanti Endpoint Manager Mobile Authentication Bypass Vulnerability

Ivanti Endpoint Manager Mobile (EPMM, previously branded MobileIron Core) contains an authentication bypass vulnerability that allows unauthenticated access to specific API paths. An attacker with access to these API paths can access personally identifiable information (PII) such as names, phone numbers, and other mobile device details for users on a vulnerable system. An attacker can also make other configuration changes including installing software and modifying security profiles on registered devices.

Required action: Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Autres failles exploitées de Ivanti Endpoint Manager Mobile (EPMM)

← Toutes les failles Ivanti · Suivi KEV