Ivanti schließt auswertbare Schwachstellen in EPM und Neurons

Ivanti veröffentlicht Sicherheitsupdates für Endpoint Manager und Neurons for MDM. Die Lücken ermöglichen Datenabflüsse und Dienstabstürze.

Der Softwarehersteller Ivanti hat Sicherheitsupdates für vier Schwachstellen in seinen Produkten Endpoint Manager (EPM) und Neurons for MDM bereitgestellt. Die Aktualisierung für EPM behebt drei als schwerwiegend eingestufte Fehler, von denen zwei durch entfernte, nicht authentifizierte Angreifer ausgenutzt werden können.

Die erste Schwachstelle (CVE-2026-18129) betrifft die unverschlüsselte Übertragung vertraulicher Informationen. Angreifer in einer Man-in-the-Middle-Position (MitM) können darüber Zugangsdaten für externe SQL-Verbindungen abfangen. Eine weitere Lücke (CVE-2026-18125) basiert auf einem Speicherlesefehler (Out-of-Bounds Read) im EPM-Agenten und kann genutzt werden, um den Agenten-Dienst gezielt zum Absturz zu bringen. Beide Probleme wurden mit der EPM-Version 2024 SU7 behoben.

Eingabe-Validierungsfehler und Behebung bei Neurons for MDM

Mit dem Update auf EPM 2024 SU7 schließt Ivanti zudem die Schwachstelle CVE-2026-18127. Hierbei handelt es sich um eine fehlerhafte Eingabevalidierung, die es authentifizierten Angreifern erlaubt, Dateinamen zu steuern und Schreibrechte über S3-Speicher-Buckets für Sitzungsaufzeichnungen zu erlangen. Zur Ausnutzung der Schwachstellen gab das Unternehmen an:

„Zum Zeitpunkt der Veröffentlichung sind uns keine Kunden bekannt, die durch diese Schwachstellen ausgenutzt wurden.“

Anzeige

Ivanti

Für die cloudbasierte SaaS-Plattform Ivanti Neurons for MDM wurde eine weitere Schwachstelle mit mittlerem Schweregrad behoben. Das Befehlsinjektions-Problem (Command Injection) konnte zur Offenlegung vertraulicher Informationen führen und wurde bereits Ende Juni 2026 in der Version R124 korrigiert. Für Kunden dieser Cloud-Lösung besteht kein weiterer Handlungsbedarf.

(red)