Ivanti cảnh báo về lỗ hổng thực thi mã nghiêm trọng của Endpoint Manager

Ngày 9/12, Công ty phần mềm Ivanti của Mỹ đã đưa ra cảnh báo khách hàng về một lỗ hổng bảo mật mới được phát hiện trong giải pháp Endpoint Manager (EPM) của hãng, có thể cho phép kẻ tấn công thực thi mã từ xa.

Với mã định danh CVE-2025-10573, lỗ hổng bảo mật nghiêm trọng này có thể bị các tác nhân đe dọa từ xa, không cần xác thực khai thác để thực thi mã JavaScript tùy ý thông qua các cuộc tấn công XSS, đòi hỏi sự tương tác của người dùng.

“Kẻ tấn công có quyền truy cập trái phép vào dịch vụ web EPM có thể kết nối các điểm cuối giả mạo với máy chủ EPM, từ đó lây nhiễm mã độc bảng điều khiển web của quản trị viên bằng mã JavaScript độc hại”, Ryan Emmons, nhà nghiên cứu bảo mật của Rapid7 - người đã báo cáo lỗ hổng này vào tháng 8, giải thích.

Khi quản trị viên Ivanti EPM xem một trong những giao diện bảng điều khiển bị nhiễm mã độc trong quá trình sử dụng, các hành vi thao tác của người dùng đó sẽ kích hoạt việc thực thi JavaScript phía máy khách, dẫn đến việc kẻ tấn công giành quyền kiểm soát phiên làm việc của quản trị viên.

Ivanti đã phát hành phiên bản EPM 2024 SU4 SR1 để khắc phục sự cố, đồng thời lưu ý rằng rủi ro của lỗ hổng này sẽ giảm đáng kể vì giải pháp Ivanti EPM không được thiết kế để hoạt động trực tuyến. Tuy nhiên, nền tảng giám sát mối đe dọa Shadowserver hiện đang theo dõi hàng trăm phiên bản Ivanti EPM tiếp xúc với bề mặt Internet, hầu hết trong số đó nằm ở Mỹ (569), Đức (109) và Nhật Bản (104).

Các trường hợp Ivanti EPMM bị lộ thông tin trực tuyến

Cùng ngày, Ivanti cũng phát hành các bản cập nhật bảo mật để khắc phục ba lỗ hổng nghiêm trọng khác, trong đó hai lỗ hổng (CVE-2025-13659 và CVE-2025-13662) có thể cho phép kẻ tấn công không được xác thực thực thi mã tùy ý trên các hệ thống chưa được vá. May mắn thay, việc khai thác thành công cũng đòi hỏi sự tương tác của người dùng và các mục tiêu phải kết nối với máy chủ không đáng tin cậy hoặc nhập các tệp cấu hình.

Mặc dù Ivanti vẫn chưa phát hiện ra bằng chứng về việc khai thác trong các cuộc tấn công, nhưng các lỗ hổng bảo mật EPM của Ivanti thường là mục tiêu của các tác nhân đe dọa.

Vào tháng 3/2025, Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) xác định ba lỗ hổng nghiêm trọng ảnh hưởng đến thiết bị EPM (CVE-2024-13159, CVE-2024-13160 và CVE-2024-13161) là những mục tiêu bị khai thác trong các cuộc tấn công, cũng như cảnh báo các cơ quan liên bang phải bảo mật mạng lưới của họ trong vòng ba tuần.

Trước đó, vào tháng 10/2024, CISA đã yêu cầu các cơ quan chính phủ vá một lỗ hổng EPM khác đang bị khai thác tích cực (CVE-2024-29824).