CVE-2025-55144
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
W produktach Ivanti Connect Secure przed 22.7R2.9 lub 22.8R2, Ivanti Policy Secure przed 22.7R1.6, Ivanti ZTA Gateway przed 2.8R2.3-723 oraz Ivanti Neurons for Secure Access przed 22.8R1.4 występuje brak autoryzacji. Zdalny uwierzytelniony atakujący z uprawnieniami administratora tylko do odczytu może konfigurować zastrzeżone ustawienia.
Ocena ryzyka
Atakujący z ograniczonymi uprawnieniami administracyjnymi może zmieniać ustawienia, do których nie powinien mieć dostępu, co może osłabić konfigurację bezpieczeństwa.
Rekomendacja
Zaktualizuj Ivanti Connect Secure do 22.7R2.9 lub 22.8R2, Ivanti Policy Secure do 22.7R1.6, Ivanti ZTA Gateway do 2.8R2.3-723 oraz Ivanti Neurons for Secure Access do 22.8R1.4.
Inne podatności w Ivanti Connect Secure / Policy Secure / ZTA Gateway / Neurons for Secure Access
Zobacz wszystkie- CVE-2025-8711Średnie
W Ivanti Connect Secure (przed 22.7R2.9 lub 22.8R2), Ivanti Policy Secure (przed 22.7R1.6), Ivanti ZTA Gateway (przed 2.8R2.3-723) oraz Ivanti Neurons for Secure Access (przed 22.8R1.4) występuje podatność CSRF. Zdalny nieuwierzytelniony atakujący może wykonać ograniczone akcje w imieniu ofiary, co wymaga interakcji użytkownika.
- CVE-2025-55147Wysokie
W produktach Ivanti Connect Secure, Policy Secure, ZTA Gateway i Neurons for Secure Access występuje podatność CSRF. Zdalny nieuwierzytelniony atakujący może wykonać wrażliwe akcje w imieniu ofiary, wymagana jest interakcja użytkownika.
- CVE-2025-55143Średnie
W Ivanti Connect Secure przed 22.7R2.9 lub 22.8R2, Ivanti Policy Secure przed 22.7R1.6, Ivanti ZTA Gateway przed 2.8R2.3-723 oraz Ivanti Neurons for Secure Access przed 22.8R1.4 występuje odbita iniekcja tekstu. Zdalny nieuwierzytelniony atakujący może wstrzyknąć dowolny tekst do spreparowanej odpowiedzi HTTP, wymagana jest interakcja użytkownika.
- CVE-2025-55139Średnie
Podatność SSRF w Ivanti Connect Secure przed 22.7R2.9 lub 22.8R2, Ivanti Policy Secure przed 22.7R1.6, Ivanti ZTA Gateway przed 2.8R2.3-723 i Ivanti Neurons for Secure Access przed 22.8R1.4 (poprawka wdrożona 02.08.2025) pozwala zdalnemu uwierzytelnionemu atakującemu z uprawnieniami administratora na wyliczanie usług wewnętrznych.
Oryginalny opis (angielski, źródło NVD)
Missing authorization in Ivanti Connect Secure before 22.7R2.9 or 22.8R2, Ivanti Policy Secure before 22.7R1.6, Ivanti ZTA Gateway before 2.8R2.3-723 and Ivanti Neurons for Secure Access before 22.8R1.4 (Fix deployed on 02-Aug-2025) allows a remote authenticated attacker with read-only admin privileges to configure restricted settings.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS