Wstrzyknięcie kodu w API Ivanti EPMM, połączone z luką pomijającą logowanie, dawało napastnikom kontrolę nad serwerem MDM i hasłami do firmowych kont. CISA potwierdza ataki. Zaktualizuj EPMM i sprawdź serwer.
Ten alert jest dla zarządu, CTO i CFO firm, które zarządzają służbowymi telefonami i tabletami przez Ivanti Endpoint Manager Mobile (EPMM, dawniej MobileIron Core). Werdykt: jeśli EPMM działa w wersji bez poprawki z maja 2025 roku, zaktualizuj go dziś, a jeśli serwer był dostępny z internetu przed aktualizacją, potraktuj go jako możliwie przejęty i zleć przegląd, bo w realnych atakach napastnicy zostawiali ukryte tylne wejścia i kradli hasła do firmowego katalogu kont.
Amerykańska agencja CISA 19 maja 2025 roku dopisała do katalogu KEV lukę CVE-2025-4428 w Ivanti EPMM, razem z bliźniaczą luką CVE-2025-4427 pozwalającą pominąć logowanie. Katalog KEV to lista luk, co do których CISA ma dowody wykorzystania w prawdziwych atakach. CVE-2025-4428 to wstrzyknięcie kodu w interfejsie API: wbudowana biblioteka Hibernate Validator wykonywała wyrażenia wpisane w parametr żądania (CISA wiąże to z CVE-2025-35036). Połączenie obu luk pozwalało napastnikom wykonać kod na serwerze bez logowania.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 9 czerwca 2025 roku. Obie luki zamyka ta sama aktualizacja.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-4428 (wykorzystywana razem z CVE-2025-4427) |
Data dodania do CISA KEV | 2025-05-19 |
Termin naprawy wg CISA | 2025-06-09 (21 dni od wpisu) |
Produkt | Ivanti Endpoint Manager Mobile (EPMM), system zarządzania urządzeniami mobilnymi (MDM) |
Wersje zagrożone | Wg NVD: wersje poniżej 11.12.0.5, 12.3.0.0 do 12.3.0.1, 12.4.0.0 do 12.4.0.1 oraz 12.5.0.0. Samodzielnie wymaga uwierzytelnienia, ale w atakach łączono ją z luką pomijającą logowanie |
Wersje bezpieczne | Wg zakresów NVD: 11.12.0.5, 12.3.0.2, 12.4.0.2 i wydanie nowsze niż 12.5.0.0 (dokładne numery w biuletynie producenta) |
Typ podatności | Wstrzyknięcie kodu przez niebezpieczne użycie biblioteki Hibernate Validator; CWE-94 |
Ocena CVSS | Producent: 7.2 WYSOKA (CVSS 3.1, zakłada wysokie uprawnienia). NVD: 8.8 WYSOKA (CVSS 3.1, zakłada niskie uprawnienia). Atak przez sieć, bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność |
Wyobraź sobie korespondencję seryjną: szablon pisma z polem „Szanowny Panie [nazwisko]”, a program potrafi w polach wykonywać drobne formuły jak w arkuszu kalkulacyjnym. Klient wpisuje w rubrykę nazwiska formułę zamiast nazwiska, a program przy generowaniu pisma nie wypisuje jej jako tekst, tylko ją wykonuje. W wersji komputerowej ta formuła nie liczy sumy, tylko uruchamia dowolny program na serwerze.
Tak działała ta luka. Biblioteka sprawdzająca poprawność danych w EPMM składała komunikaty o błędach z szablonów i przepuszczała przez nie dane od użytkownika. Napastnicy wpisywali wyrażenie w parametr adresu API, serwer je wykonywał, a sąsiednia luka CVE-2025-4427 sprawiała, że nie trzeba było się logować. Serwer zarządzający wszystkimi telefonami firmy wykonywał polecenia obcych.
💡 MDM (Mobile Device Management) to system do centralnego zarządzania telefonami i tabletami: instaluje aplikacje, wymusza blokady, może wyczyścić urządzenie. API to interfejs, przez który programy komunikują się z serwerem. Hibernate Validator to popularna biblioteka Java do sprawdzania poprawności danych. Tylne wejście (backdoor) to ukryty sposób powrotu napastnika do systemu. Usługa katalogowa to firmowa „książka adresowa” z kontami pracowników, np. Active Directory. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Żądanie z błędną wartością parametru | Serwer zwraca komunikat o błędzie | Serwer wykonuje wyrażenie wpisane w parametr |
Dostęp do API bez logowania | Odmowa | Możliwy dzięki CVE-2025-4427 |
Złośliwy program wysłany do serwera | Rozpoznany przez ochronę | Przesłany w kawałkach, złożony dopiero na dysku |
Działanie serwera po włamaniu | Normalna praca | Normalna praca, ale z ukrytym modułem nasłuchującym |
Dane logowania do usługi katalogowej | Chronione na serwerze | Wyciągnięte przez napastników |
źródło: Pexels, RDNE Stock projectPoniżej typowy przebieg ataku oparty na opisach realnych włamań na EPMM. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Serwery EPMM są zwykle dostępne z internetu, bo telefony muszą się z nimi łączyć, a CISA ocenia atak jako możliwy do zautomatyzowania.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie serwerów EPMM dostępnych z internetu | Lista celów |
2. Obejście logowania i wstrzyknięcie | T+minuty | Żądanie do API z wyrażeniem w parametrze (CVE-2025-4427 i CVE-2025-4428) | Wykonanie kodu na serwerze |
3. Dostarczenie programu | T+minuty do godzin | Wysłanie złośliwego programu w zakodowanych kawałkach, dopisywanych do jednego pliku | Program złożony na dysku, niewidoczny dla ochrony szukającej wzorców |
4. Tylne wejście | T+godziny | Wpięcie modułu nasłuchującego do serwera aplikacji | Ukryty dostęp, serwer działa normalnie |
5. Kradzież i rozpoznanie | T+dni do tygodni | Zbieranie informacji, pobieranie plików, zrzut pamięci, wyciąganie haseł do usługi katalogowej | Dostęp do kont pracowników i sieci firmy |
Serwer MDM zarządza wszystkimi służbowymi telefonami i przechowuje dane dostępowe do systemów firmy. Włamanie opisane przez CISA nie kończyło się szyfrowaniem, tylko cichym, trwałym dostępem, który jest trudny do wykrycia i drogi w usunięciu.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odbudowa serwera MDM od zera, ponowna rejestracja telefonów, zmiana haseł wszystkich pracowników | Dni do tygodni | 50 tys. do 300 tys. PLN (praca IT, przestoje) |
Bezpieczeństwo danych | Wyciek danych logowania do usługi katalogowej, danych o urządzeniach i użytkownikach | Dni od włamania, wykrywany późno | 50 tys. do 300 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, dalsze ataki z użyciem skradzionych haseł | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów po incydencie z kradzieżą kont | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin; przy nieznanym początku włamania zakres zgłoszenia trzeba przyjąć szeroko; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka: EPMM bez poprawki, dostępny z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE (w połączeniu z CVE-2025-4427)
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: sama luka wymaga logowania, ale jest wykorzystywana razem z luką pomijającą logowanie, atak jest automatyzowalny, a EPSS wynosi około 86% (dla bliźniaczej luki prawie 100%), dlatego dla serwera dostępnego z internetu ryzyko jest krytyczne.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję EPMM i porównać z biuletynem Ivanti | Dziś | Administrator MDM |
2 | 🔴 NATYCHMIAST | Zaktualizować EPMM do wersji z poprawką na CVE-2025-4427 i CVE-2025-4428 | Dziś | Administrator MDM / partner |
3 | 🔴 NATYCHMIAST | Ograniczyć dostęp do panelu administracyjnego i API z internetu do niezbędnego minimum | Dziś | Administrator sieci |
4 | 🟠 PILNIE | Jeśli serwer był wystawiony bez poprawki: zlecić przegląd pod kątem obcych plików i modułów w serwerze aplikacji | Do 3 dni | Zewnętrzny zespół bezpieczeństwa |
5 | 🟠 PILNIE | Przy śladach włamania: zmienić hasło konta, którym EPMM łączy się z usługą katalogową, i hasła użytkowników | Do 3 dni | Administrator IT |
6 | 🟠 PILNIE | Rozważyć odbudowę serwera od zera, jeśli przegląd potwierdzi ingerencję | Do 14 dni | CTO |
7 | 🟡 WAŻNIE | Zapewnić przechowywanie zapisów zdarzeń z serwera MDM poza samym serwerem | Do 30 dni | CTO |
Ivanti wydało poprawki dla wspieranych gałęzi, więc docelowo trzeba je wgrać. Program antywirusowy na serwerze nie jest skuteczną odpowiedzią na ten atak, bo złośliwy program był składany z kawałków. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie dostępu do API i panelu administracyjnego do zaufanych adresów | Średnia do wysokiej, zależnie od tego, które funkcje muszą być dostępne dla telefonów | Średnia |
Zapora aplikacyjna blokująca żądania z wyrażeniami w parametrach | Średnia: utrudnia atak, bywa obchodzona | Średnia |
Przegląd serwera pod kątem obcych plików i modułów | Wysoka w wykrywaniu włamania | Trudna: wymaga specjalisty |
Antywirus na serwerze | Niska wobec programu dostarczanego w kawałkach | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Luki CVE-2025-4427 i CVE-2025-4428 | Wykonanie kodu bez logowania z internetu | Zamknięte jedną aktualizacją |
Obecność napastnika | Nieznana, serwer działa normalnie | Przegląd wykonany, serwer czysty lub odbudowany |
Hasła do usługi katalogowej | Mogły wypłynąć | Zmienione |
Dostęp z internetu | Panel i API szeroko dostępne | Ograniczony do niezbędnych funkcji |
Zapisy zdarzeń | Tylko na serwerze, łatwe do usunięcia | Przechowywane poza serwerem |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA, które opisało włamania łączące CVE-2025-4427 i CVE-2025-4428) |
Grupy przestępcze | Brak publicznych informacji o nazwie grupy w źródłach |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown); opisane włamania nastawione były na trwały dostęp i kradzież danych |
Ocena CVSS | 7.2 WYSOKA wg producenta (CVSS 3.1); 8.8 WYSOKA wg NVD (CVSS 3.1); europejski rejestr powtarza ocenę producenta |
PoC dostępny publicznie? | Brak publicznych informacji w źródłach; mechanizm ataku został szczegółowo opisany przez CISA |
Liczba atakowanych firm | Brak publicznych informacji |
Źródło problemu | Niebezpieczne użycie biblioteki Hibernate Validator (CVE-2025-35036), wg Red Hat przy ustawieniach domyślnych zamienia sprawdzanie formularzy w drogę do przejęcia serwera |
Prognoza EPSS | Około 86% szansy próby wykorzystania w ciągu 30 dni; dla CVE-2025-4427 prawie 100% (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-4428
CVSS 3.1 (NVD) 8.8/10 ██████████████████░░ WYSOKA
CVSS 3.1 (producent) 7.2/10 ██████████████░░░░░░ WYSOKA
EPSS (próba w 30 dni) ~86% █████████████████░░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ możliwa 2025-05-13 Ivanti publikuje biuletyn i poprawki; CVE-2025-4427
i CVE-2025-4428 opublikowane w NVD
2025-05-19 CISA dodaje obie luki do katalogu KEV
2025-06-09 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 15 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta: forums.ivanti.com, Security Advisory Ivanti EPMM . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-4428 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma zarządza telefonami przez Ivanti EPMM (własny serwer lub u partnera) | CTO | DZISIAJ |
2 | Uzyskać pisemnie wersję EPMM i datę instalacji poprawki z maja 2025 roku | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację i ograniczenie dostępu z internetu | CTO | DZISIAJ |
4 | Zdecydować o przeglądzie serwera, jeśli aktualizacja nastąpiła po 13 maja 2025 roku | CTO | DO JUTRA |
5 | Zarezerwować budżet na przegląd, zmianę haseł i ewentualną odbudowę serwera | CFO | DO JUTRA |
6 | Zapytać dostawcę, jak śledzi bezpieczeństwo składników użytych w produkcie i w jakim czasie wydaje poprawki | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące włamań o nieznanym początku | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja Ivanti EPMM jest zainstalowana? | [wersja] | 🔴 |
2 | Kiedy zainstalowano poprawkę na CVE-2025-4427 i CVE-2025-4428? | [data] | 🔴 |
3 | Czy panel administracyjny i API EPMM są dostępne z internetu? | TAK / NIE | 🔴 |
4 | Czy sprawdzono serwer pod kątem obcych plików i modułów w serwerze aplikacji? | TAK / NIE, [data] | 🔴 |
5 | Jakim kontem EPMM łączy się z usługą katalogową i kiedy zmieniono jego hasło? | [konto], [data] | 🟠 |
6 | Czy zapisy zdarzeń z serwera EPMM są przechowywane poza serwerem i od kiedy? | TAK / NIE, [data] | 🟠 |
7 | Czy mamy plan odbudowy serwera MDM i ponownej rejestracji telefonów? | TAK / NIE | 🟡 |
CVE-2025-4428 pozwala wykonać kod na serwerze Ivanti EPMM, a w połączeniu z CVE-2025-4427 także bez logowania. CISA opisała realne włamania z ukrytymi modułami w serwerze i kradzieżą haseł do usługi katalogowej, dlatego dziś trzeba potwierdzić wersję z poprawką, a przy serwerach wystawionych wcześniej do internetu zlecić przegląd.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.