bdu,nvd,anchore_overrides
Ivanti
Уязвимости
724
Эксплуатируемые
34
Критический
171
Высокий
411
Топ продуктов
Avalanche189Connect Secure166Endpoint Manager116Policy Secure108Ivanti Endpoint Manager72Endpoint Manager Mobile28Secure Access Client28Workspace Control28Zero Trust Access Gateway17Ivanti Endpoint Manager Mobile16Neurons For Secure Access15Ivanti Cloud Services Appliance11Cloud Services Appliance7Desktop \& Server Management7Landesk Management Suite7Ivanti Neurons For Itsm6Neurons For Itsm6Endpoint Manager Cloud Services Appliance5Neurons For Zero-trust Access5Standalone Sentry4
Топ уязвимостей
CVE-2026-10520Уязвимость ОС виндийсинга в Ivanti Sentry перед версиями R10.5.2, R10.6.2 и R10.7.1 позволяет удаленному пользователю с автономным управлением достичь удаленного выполнения кода на корнем уровне
CVE-2021-22893Pulse Connect Secure 9.0R3/9.1R1 и более поздние версии уязвимы для уязвимости обхода аутентификации, предоставляемой функциями Windows File Share Browser и Pulse Secure Collaboration в Pulse Connect Secure, которая может позволить неаутентифицированному пользователю выполнять удаленное произвольное выполнение кода на шлюзе Pulse Connect Secure. Эта уязвимость использовалась в реальных условиях.
CVE-2019-11510В Pulse Secure Pulse Connect Secure (PCS) 8.2 до 8.2R12.1, 8.3 до 8.3R7.1 и 9.0 до 9.0R3.4 не прошедший проверку подлинности удаленный злоумышленник может отправить специально созданный URI для выполнения произвольной уязвимости чтения файлов.
CVE-2016-4787Pulse Connect Secure (PCS) 8.2 до 8.2r1, 8.1 до 8.1r2, 8.0 до 8.0r10 и 7.4 до 7.4r13.4 позволяют удаленным злоумышленникам читать конфиденциальные файлы системной аутентификации в неуказанном каталоге через неизвестные векторы.
BDU:2026-08029Уязвимость встроенного мобильного шлюза безопасности Ivanti Sentry связана с непринятием мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с правами root
BDU:2024-11068Уязвимость веб-консоли сетевого средства автоматизации процессов управления ИТ-услугами Ivanti Cloud Services Appliance связана с обходом процедуры аутентификации посредством использования альтернативного пути или канала. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить административный доступ
BDU:2024-06794Уязвимость программного средства управления конечными точками Ivanti EPM связана с недостатками механизма десериализации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код
BDU:2024-05798Уязвимость приложения для управления жизненным циклом мобильных устройств и мобильных приложений Ivanti Endpoint Manager Mobile (EPMM) (ранее MobileIron Core) связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти процесс аутентификации
BDU:2023-04168Уязвимость приложения для управления жизненным циклом мобильных устройств и мобильных приложений Ivanti Endpoint Manager Mobile (EPMM) (ранее MobileIron Core) связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии
CVE-2023-46808Уязвимость загрузки файлов в Ivanti ITSM до 2023.4 позволяет аутентифицированному удаленному пользователю выполнять запись файлов на сервер. Успешная эксплуатация может привести к выполнению команд в контексте пользователя, не являющегося root-пользователем.
CVE-2020-13774Проблема неограниченной загрузки файлов в EditLaunchPadDialog.aspx в Ivanti Endpoint Manager 2019.1 и 2020.1 позволяет аутентифицированному злоумышленнику получить удаленное выполнение кода, загрузив вредоносный aspx-файл. Проблема вызвана недостаточной проверкой расширения файла и небезопасными операциями с файлами загруженного изображения, которые при сбое оставят временно созданные файлы в доступном месте на сервере.
BDU:2025-01566Уязвимость средства контроля сетевого доступа Ivanti Connect Secure связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код
CVE-2026-5788Неправильный контроль доступа в Ivanti EPMM перед версиями 12.6.1.1, 12.7.0.1 и 12.8.0.1 позволяет удаленному неаутентированному злоумышленнику ссылаться на произвольные методы.
CVE-2026-1340Инъекция кода в Ivanti Endpoint Manager Mobile, позволяющая злоумышленникам добиться неаудированной удаленной записи кода.
CVE-2026-1281Инъекция кода в Ivanti Endpoint Manager Mobile позволяет злоумышленникам достичь неаутентифицированного удаленного выполнения кода.
CVE-2025-22462Уязвимость Ivanti Neurons for ITSM (только локальная версия) до 2023.4, 2024.2 и 2024.3 с майским 2025 года исправлением безопасности позволяет удаленному неаутентифицированному злоумышленнику получить административный доступ к системе путем обхода аутентификации [1].
Источники:
- [1] https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Neurons-for-ITSM-on-premises-only-CVE-2025-22462
CVE-2025-22457Переполнение буфера на основе стека в Ivanti Connect Secure до версии 22.7R2.6, Ivanti Policy Secure до версии 22.7R1.4 и Ivanti ZTA Gateways до версии 22.8R2.2 позволяет удаленному неаутентифицированному злоумышленнику добиться выполнения удаленного кода.
CVE-2024-8191SQL-инъекция в консоли управления Ivanti EPM до 2022 SU6 или в обновлении за сентябрь 2024 года позволяет удаленному неаутентифицированному злоумышленнику добиться удаленного выполнения кода.
CVE-2024-7593Некорректная реализация алгоритма аутентификации в Ivanti vTM, отличного от версий 22.2R1 или 22.7R2, позволяет удаленному неаутентифицированному злоумышленнику обойти аутентификацию панели администратора.
CVE-2024-7569Уязвимость раскрытия информации в Ivanti ITSM on-prem и Neurons for ITSM версий 2023.4 и более ранних позволяет неаутентифицированному злоумышленнику получить секрет клиента OIDC через отладочную информацию.
CVE-2024-50330SQL-инъекция в Ivanti Endpoint Manager до ноябрьского обновления безопасности 2024 г. или ноябрьского обновления безопасности SU6 2022 г. позволяет удаленному злоумышленнику, не прошедшему проверку подлинности, добиться удаленного выполнения кода.
CVE-2024-47010Обход пути в Ivanti Avalanche до версии 6.4.5 позволяет удаленному не прошедшему проверку подлинности злоумышленнику обходить аутентификацию.
CVE-2024-47009Обход пути в Ivanti Avalanche до версии 6.4.5 позволяет удаленному не прошедшему проверку подлинности злоумышленнику обходить аутентификацию.
CVE-2024-36130Недостаточная авторизация в веб-компоненте EPMM до версии 12.1.0.1 позволяет неавторизованному злоумышленнику в сети выполнять произвольные команды в базовой операционной системе устройства.
CVE-2024-29847Десериализация ненадежных данных в портале агента Ivanti EPM до 2022 SU6 или обновления за сентябрь 2024 года позволяет удаленному неаутентифицированному злоумышленнику добиться удаленного выполнения кода.