Błąd w Ivanti Endpoint Manager Mobile (CVE-2025-4427) pozwala ominąć logowanie, a z CVE-2025-4428 przejąć serwer. CISA potwierdza ataki. Zaktualizuj EPMM do wersji z poprawką dla swojej gałęzi i sprawdź logi.
Ten alert jest dla zarządu, CTO i CFO firm, które zarządzają telefonami służbowymi przez Ivanti Endpoint Manager Mobile (EPMM). Werdykt: jeśli serwer EPMM nie ma wersji 11.12.0.5, 12.3.0.2, 12.4.0.2 lub 12.5.0.1 (zależnie od gałęzi) albo nowszej, zaktualizuj go dziś i sprawdź ślady włamania, bo ataki ruszyły dwa dni po publikacji poprawki.
Amerykańska agencja CISA 19 maja 2025 roku dopisała podatność CVE-2025-4427 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd w interfejsie API systemu Ivanti EPMM pozwala dostać się do chronionych zasobów bez logowania. Źródłem jest niepoprawne użycie otwartej biblioteki Spring Framework.
Sama luka ma u producenta ocenę średnią, ale w atakach łączono ją z drugim błędem, CVE-2025-4428, który pozwala zalogowanemu napastnikowi wykonać kod na serwerze. Razem dawały przejęcie systemu, który steruje wszystkimi firmowymi telefonami, bez hasła. CISA dopisała obie luki do KEV tego samego dnia. Termin naprawy minął 9 czerwca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-4427 (łączona w atakach z CVE-2025-4428) |
Data dodania do CISA KEV | 2025-05-19 |
Termin naprawy wg CISA | 2025-06-09 (21 dni od wpisu) |
Produkt | Ivanti Endpoint Manager Mobile (EPMM), komponent API; serwer instalowany u klienta |
Wersje zagrożone | 11.12.0.4 i starsze, 12.3.0.0 do 12.3.0.1, 12.4.0.0 do 12.4.0.1 oraz 12.5.0.0 |
Wersje bezpieczne | 11.12.0.5, 12.3.0.2, 12.4.0.2, 12.5.0.1 (każda dla swojej gałęzi) lub nowsze. Porównuj numer z poprawką dla gałęzi, na której działa serwer, a nie z najwyższym numerem w komunikacie |
Typ podatności | Obejście uwierzytelnienia przez alternatywną ścieżkę lub kanał; CWE-288 |
Ocena CVSS | NVD: 7.5 (CVSS 3.1, WYSOKA, wysoki wpływ na poufność). Ivanti: 5.3 (CVSS 3.1, ŚREDNIA, niski wpływ na poufność). ENISA przyjęła wartość producenta. Atak przez sieć, niska złożoność, bez logowania i bez udziału użytkownika |
Druga luka z łańcucha, CVE-2025-4428, to według CISA wstrzyknięcie kodu w komponencie API, wynikające z niepoprawnego użycia biblioteki Hibernate Validator (CWE-94). Poprawiają ją te same wersje EPMM.
Wyobraź sobie biurowiec z recepcją, rejestrem gości i portierem, który rzetelnie sprawdza dokumenty. Recepcja działa bez zarzutu. Nikt jednak nie wpisał rampy dostawczej na listę wejść, których portier pilnuje, a korytarzem z rampy da się dojść dokładnie tam, gdzie prowadzi wejście główne. Nie trzeba podrabiać przepustki: wystarczy wejść inną drogą.
Tak działa ta luka. System EPMM sprawdza tożsamość przy żądaniach do API, ale reguła określająca, które adresy mają być chronione, była zapisana zbyt wąsko. Część żądań trafiała do chronionych funkcji bez sprawdzenia. W połączeniu z drugą luką napastnik mógł uruchomić na serwerze własny kod. A serwer EPMM steruje wszystkimi telefonami firmy: ich konfiguracją poczty, VPN, aplikacjami i kasowaniem danych.
💡 EPMM / MDM to system do zarządzania telefonami służbowymi z jednego panelu. API to interfejs, przez który programy komunikują się z serwerem. Obejście uwierzytelnienia oznacza dostęp do funkcji bez prawidłowego logowania. Spring Framework i Hibernate Validator to otwarte biblioteki programistyczne, z których zbudowany jest produkt. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba wysyła żądanie do API EPMM | Serwer wymaga logowania | Część chronionych zasobów dostępna bez logowania |
Uruchomienie kodu na serwerze | Niemożliwe bez uprawnień | Możliwe w łańcuchu z CVE-2025-4428 |
Lista telefonów i ich konfiguracja | Widoczna tylko dla administratorów | W zasięgu napastnika |
Wypchnięcie aplikacji na telefony | Tylko przez uprawnionego administratora | Możliwe po przejęciu serwera |
Serwer w wersji 12.4.0.1, komunikat mówi o 12.5.0.1 | „Po prostu starsza wersja” | Podatna: poprawka dla tej gałęzi to 12.4.0.2 |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Serwer EPMM musi być osiągalny dla telefonów, więc zwykle jest dostępny z internetu. Atak nie wymaga konta, a CISA ocenia go jako możliwy do zautomatyzowania i skutkujący całkowitym przejęciem.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie serwerów EPMM w internecie | Lista celów |
2. Obejście logowania | T+sekundy | Spreparowane żądanie do API omijające sprawdzenie tożsamości (CVE-2025-4427) | Dostęp do chronionych funkcji |
3. Wykonanie kodu | T+sekundy | Wykorzystanie CVE-2025-4428 przez ten sam kanał | Kod napastnika na serwerze |
4. Kradzież danych | T+minuty do godzin | Pobranie listy urządzeń, użytkowników, konfiguracji poczty i VPN | Dane pracowników i dostępów |
5. Utrwalenie | T+godziny | Instalacja narzędzi zdalnego dostępu na serwerze | Stały dostęp |
6. Nadużycie floty | T+dni | Wykorzystanie panelu do działań na telefonach lub dalszego ataku na sieć | Przejęte urządzenia, wyciek, przestój |
Mogę Ci jakoś pomóc?
System zarządzający telefonami jest z definicji uprzywilejowany wobec każdego podłączonego urządzenia. Kto steruje panelem, steruje telefonami. CISA zaleca traktowanie takich systemów jak zasobów o najwyższej wartości. Ataki ruszyły dwa dni po publikacji poprawki, więc każdy tydzień zwłoki to realne okno dla napastników.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Utrata kontroli nad flotą telefonów, konieczność ponownego wdrożenia urządzeń | Dni | 30 tys. do 300 tys. PLN (odtwarzanie, praca IT) |
Bezpieczeństwo danych | Wyciek danych pracowników, konfiguracji poczty i VPN, kontaktów klientów | Godziny | 30 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty incydentu, zmiana dostępów, wymiana systemu, ewentualne wyłudzenia | Tygodnie | 100 tys. do 800 tys. PLN łącznie |
Reputacyjny | Ujawnienie danych klientów z telefonów handlowców | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z serwerem Ivanti EPMM
bez poprawki z maja 2025, dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: sama luka ma ocenę średnią lub wysoką, ale w łańcuchu z CVE-2025-4428 daje całkowite przejęcie serwera sterującego telefonami, a prawdopodobieństwo jest maksymalne (atak automatyzowalny, EPSS około 99,9%, ataki dwa dni po poprawce).
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję i gałąź serwera EPMM, porównać z poprawką dla tej gałęzi (11.12.0.5, 12.3.0.2, 12.4.0.2, 12.5.0.1) | Dziś | Administrator EPMM |
2 | 🔴 NATYCHMIAST | Zainstalować poprawkę dla właściwej gałęzi lub nowszą wersję | Dziś | Administrator EPMM / partner IT |
3 | 🔴 NATYCHMIAST | Ograniczyć dostęp do portalu administracyjnego i API z internetu do niezbędnego minimum | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Przejrzeć logi serwera od maja 2025 roku pod kątem nietypowych żądań do API, nowych kont i zmian konfiguracji | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Sprawdzić, czy na telefony nie wypchnięto nieznanych aplikacji lub profili | Do 3 dni | Administrator EPMM |
6 | 🟠 PILNIE | Przy śladach włamania: zmienić hasła administratorów, certyfikaty i dane dostępowe przechowywane w konfiguracjach | Do 7 dni | CTO |
7 | 🟡 WAŻNIE | Objąć serwer MDM osobnym monitorowaniem jako zasób o najwyższej wartości (zalecenie CISA) | Do 30 dni | CTO |
Ivanti wydał poprawki dla wszystkich wymienionych gałęzi. Nie udało się zweryfikować treści ewentualnych obejść w biuletynie producenta, bo strona biuletynu nie dała się pobrać automatycznie. Poniższe miary tylko ograniczają ryzyko; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie dostępu do API i portalu administracyjnego do zaufanych adresów lub VPN | Średnia do wysokiej: zależy od tego, które funkcje muszą być dostępne dla telefonów | Średnia |
Reguły WAF blokujące nietypowe żądania do API | Średnia | Średnia |
Wzmożony monitoring logów serwera i zmian w konfiguracji | Niska jako ochrona, przydatna do wykrycia ataku | Łatwa |
Migracja na wspieraną wersję lub inny system MDM | Wysoka i docelowa | Trudna |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Serwer EPMM | Możliwe przejęcie bez hasła | Wersja z poprawką dla właściwej gałęzi |
Dostęp z internetu | Otwarty do portalu i API | Ograniczony do niezbędnego minimum |
Wiedza o włamaniu | Brak | Przejrzane logi, konta, aplikacje i profile |
Status systemu | Zwykłe narzędzie administracyjne | Zasób o najwyższej wartości z monitoringiem |
Zgodność z wymogami | Ponad 15 miesięcy po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, atak automatyzowalny, wpływ całkowity. Ataki ruszyły około 15 maja 2025 roku, po publikacji dowodu wykonalności ataku (wg analizy źródłowej) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 7.5 WYSOKA wg NVD; 5.3 ŚREDNIA wg Ivanti (obie CVSS 3.1) |
PoC dostępny publicznie? | TAK: wg analizy źródłowej opublikowany około 15 maja 2025 roku |
Liczba atakowanych firm | Brak publicznych informacji |
Luka powiązana | CVE-2025-4428 (wstrzyknięcie kodu), w KEV od 19 maja 2025 roku, ten sam termin naprawy |
Prognoza EPSS | ok. 99,9%, wyżej niż 99,9% znanych podatności (wg analizy źródłowej) |
Rozjazd ocen pokazuje, że liczba przy pojedynczej luce nie oddaje ryzyka łańcucha:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2025-4427
CVSS 3.1 (Ivanti) 5.3/10 ███████████░░░░░░░░░ ŚREDNIA
CVSS 3.1 (NVD) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS (prawdopodob.) ~99,9% ████████████████████ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ skanowanie masowe 2025-05-13 Ivanti publikuje biuletyn i poprawki, publikacja CVE w NVD
2025-05-15 Publikacja dowodu wykonalności ataku i początek ataków
2025-05-19 CISA dodaje CVE-2025-4427 i CVE-2025-4428 do KEV
2025-06-09 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 15 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta: forums.ivanti.com: Security Advisory Ivanti Endpoint Manager Mobile (EPMM) . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-4427 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub partner IT używa Ivanti EPMM do zarządzania telefonami | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji i gałęzi serwera EPMM | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację i ograniczenie dostępu z internetu | CTO | DZISIAJ |
4 | Zlecić przegląd logów i konfiguracji od maja 2025 roku | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
6 | Sprawdzić w umowie z dostawcą MDM zapisy o terminach wgrywania poprawek | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące wycieku danych z urządzeń mobilnych | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja i gałąź Ivanti EPMM działa na naszym serwerze? | [wersja] | 🔴 |
2 | Kiedy zainstalowano poprawkę z maja 2025 roku? | [data] | 🔴 |
3 | Czy portal administracyjny i API EPMM są dostępne z internetu? | TAK / NIE | 🔴 |
4 | Czy przejrzano logi serwera pod kątem nietypowych żądań do API od maja 2025 roku? | TAK / NIE | 🟠 |
5 | Czy na telefony nie trafiły nieznane aplikacje lub profile konfiguracyjne? | TAK / NIE | 🟠 |
6 | Ile kont administratora ma panel EPMM i czy wszystkie są potrzebne? | [liczba] | 🟠 |
7 | Ile czasu mija u nas od publikacji poprawki do jej instalacji na serwerach w internecie? | [liczba dni] | 🟡 |
CVE-2025-4427 pozwala ominąć logowanie w Ivanti EPMM, a w połączeniu z CVE-2025-4428 przejąć serwer sterujący wszystkimi telefonami firmy. Ataki ruszyły dwa dni po publikacji poprawki, a CISA potwierdza ich automatyzację, dlatego aktualizacja do wersji właściwej dla gałęzi, ograniczenie dostępu z internetu i przegląd logów to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.