CISA обнаружила две новые опасные уязвимости в Ivanti: срочно обновляйтесь
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Агентство кибербезопасности и инфраструктурной безопасности США (CISA) выпустило новое предупреждение об очередных серьёзных уязвимостях в популярном программном обеспечении Ivanti. По данным CISA, злоумышленники уже активно используют две уязвимости — CVE-2025-4427 и CVE-2025-4428 — и даже научились комбинировать их для сложных атак на корпоративные сети.
Обе опасности затрагивают Ivanti Endpoint Manager Mobile (EPMM), широко распространённое средство для администрирования мобильных устройств. Первая, CVE-2025-4427, — это возможность обойти аутентификацию в API-компоненте EPMM (версии 12.5.0.0 и более ранние). Фактически, злоумышленник может получить доступ к защищённым ресурсам, не имея на то права; по шкале опасности ей присвоено 7,5 из 10. Исправление выпустили в мае 2025 года. Вторая, CVE-2025-4428, ещё опаснее: она позволяет без всяких паролей удалённо выполнять произвольный код с помощью специально сформированных запросов к API. Её оценили в 8,8 из 10 — и тоже закрыли в мае 2025.
Эксперты CISA уточняют: нападавшие используют обе уязвимости вместе, чтобы внедрять вредоносное ПО. Первый тип вредоноса встраивается в сервер Apache Tomcat и перехватывает определённые HTTP-запросы, чтобы запускать любой Java-код. Второй действует по похожей схеме, но использует другой способ обработки зашифрованных паролей, передаваемых в HTTP-запросах.
Оба вредоноса доставлялись через технику Java Expression Language (EL) injection: хакеры использовали обычные GET-запросы, маскировали свою «доставку» с помощью кодировки base64, а потом собирали вредоносный код по кускам в системных временных папках. Такой подход помогает обходить классические средства защиты.
CISA не уточняет, кто стоит за атаками, и кто именно пострадал. Но специалисты The Register ссылаются на более ранние сообщения: возможно, в деле замешаны так называемые китайские хакеры, которых поддерживает государство, а целью атаки стала австралийская организация.
PEREC.RU
Вот как выглядит очередной технологический перформанс: CISA снова вылезает на арену, объявляя всему миру — не хотите стать очередной записью в статистике киберпреступлений, срочно обновляйтесь. В Ivanti вновь находят уязвимости, словно это основная функция их программ — быть взломанными. Причём не абы какие, а сразу две лакомые дыры, которые так и тянут хакеров устроить сафари на вашу инфраструктуру.
Первая уязвимость из серии "вход свободен, пароли не нужны" — своим 7,5 баллами по шкале устрашения может дать фору половине утечек года. Вторая — сценарий для любителей управлять вашим сервером по удалёнке. Комбинируются эти радости в свежем кибер-дуэте: один вредонос внедряется в Tomcat (самый трогательный из популярных серверов), второй пересобирает пароли, как новогоднюю гирлянду. Всё-за-кодировкой-base64, всё-в-обход-любого антивируса.
CISA не спешит называть имена — мол, кто атакует и кого, знать не наше дело. Однако намёк на китайский след и австралийских жертв звучит отчётливо. Не обновились до мая? Скоро и вам напишут такой же совет — только уже от лица взломщиков. Вся эта ситуация — как зеркало ИТ-мира: что бы вы ни делали, патчить надо вчера, а киберпреступники придумывают новое уже завтра.
