CVE-2025-11492

KrytyczneCVSS 9.6

Opublikowano: 16/10/2025(UTC)Zaktualizowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

W agencie ConnectWise Automate komunikacja mogła być skonfigurowana do używania HTTP zamiast HTTPS. W takim przypadku atakujący z pozycją man-in-the-middle mógł przechwytywać, modyfikować lub odtwarzać ruch między agentem a serwerem. Poprawka w wersji Automate 2025.9 wymusza HTTPS dla całej komunikacji agenta.

Ocena ryzyka

Atakujący w sieci może przechwycić poufne dane przesyłane między agentem a serwerem, a także modyfikować komunikację, co może prowadzić do nieautoryzowanych działań na zarządzanych stacjach. Zagrożenie dotyczy organizacji, które nie wymusiły HTTPS w konfiguracji agenta.

Rekomendacja

Zaktualizuj ConnectWise Automate do wersji 2025.9 lub nowszej, która wymusza HTTPS. Do czasu aktualizacji upewnij się, że konfiguracja agenta używa wyłącznie HTTPS.

Inne podatności w ConnectWise Automate Agent

CVE-2025-11493Wysokie
Agent ConnectWise Automate nie w pełni weryfikuje autentyczność plików pobieranych z serwera, takich jak aktualizacje, zależności i integracje. Stwarza to ryzyko, że atakujący w środku ścieżki (on-path) może przeprowadzić atak man-in-the-middle i podstawić złośliwe pliki zamiast legalnych, podszywając się pod legalny serwer. Ryzyko jest ograniczone, gdy wymuszane jest HTTPS i jest powiązane z CVE-2025-11492.

Oryginalny opis (angielski, źródło NVD)

In the ConnectWise Automate Agent, communications could be configured to use HTTP instead of HTTPS. In such cases, an on-path threat actor with a man-in-the-middle network position could intercept, modify, or replay agent-server traffic. Additionally, the encryption method used to obfuscate some communications over the HTTP channel is updated in the Automate 2025.9 patch to enforce HTTPS for all agent communications.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS