Błąd w Ivanti EPM pozwala bez logowania odczytać wrażliwe pliki serwera zarządzania komputerami, w tym dane kont. CISA potwierdza ataki. Odetnij konsolę od internetu i zainstaluj styczniową poprawkę 2025.
Ten alert jest dla zarządu, CTO i CFO firm, które zarządzają komputerami pracowników przez Ivanti Endpoint Manager (EPM). Werdykt: jeśli Twój serwer EPM nie ma styczniowej aktualizacji bezpieczeństwa 2025 (dla linii 2024 lub 2022 SU6), zainstaluj ją w tym tygodniu, a dziś odetnij konsolę od internetu, bo luka pozwala bez logowania czytać wrażliwe pliki serwera i jest wykorzystywana w atakach.
Amerykańska agencja CISA 10 marca 2025 roku dopisała podatność CVE-2024-13161 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd to wędrówka po ścieżce (path traversal): serwer EPM oddaje zawartość wskazanego pliku, nie sprawdzając, czy leży on w dozwolonym miejscu. Napastnik bez konta i bez udziału użytkownika może odczytać wrażliwe pliki serwera.
Tego samego dnia CISA dodała dwie bliźniacze luki tego produktu (CVE-2024-13159 i CVE-2024-13160). Badacze Horizon3 opisali je jako podatności wymuszania poświadczeń: pozwalają zmusić konto serwera EPM do połączenia ze zdalnym zasobem i użyć jego danych logowania w ataku przekazywania (relay). Termin naprawy wg CISA minął 31 marca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-13161 (także EUVD-2024-51387) |
Data dodania do CISA KEV | 2025-03-10 |
Termin naprawy wg CISA | 2025-03-31 (21 dni od wpisu) |
Produkt | Ivanti Endpoint Manager (EPM), serwer zarządzania komputerami w firmie |
Wersje zagrożone | EPM przed styczniową aktualizacją bezpieczeństwa 2025 dla linii 2024 oraz 2022 SU6; podatne także wydania starsze niż linia 2022. Atak przez sieć na serwer EPM, bez logowania |
Wersje bezpieczne | EPM 2024 ze styczniową aktualizacją bezpieczeństwa 2025 oraz EPM 2022 SU6 ze styczniową aktualizacją bezpieczeństwa 2025 (lub nowsze). Wydania starsze niż 2022 wymagają przejścia na wspieraną linię |
Typ podatności | Wędrówka po ścieżce z ujawnieniem plików; CWE-36 (absolute path traversal). Horizon3 opisuje mechanizm jako wymuszanie poświadczeń |
Ocena CVSS | Ivanti: 9.8 KRYTYCZNA (CVSS 3.1). NVD: 7.5 WYSOKA (CVSS 3.1, tylko utrata poufności). Atak przez sieć, niska złożoność, bez uprawnień, bez udziału użytkownika |
Wyobraź sobie recepcję, w której można poprosić o dowolną teczkę z archiwum, podając jej numer. Recepcjonista nie sprawdza, czy masz prawo do tej teczki ani czy leży ona w części dostępnej dla gości. Podajesz numer teczki „kadry, hasła do systemów” i dostajesz ją do ręki. Nic nie zepsułeś, po prostu przeczytałeś.
Serwer Ivanti EPM zarządza wszystkimi komputerami w firmie i trzyma opis całego środowiska: jakie są stanowiska, na czym pracują, jakich kont używają usługi. Luka pozwala odczytać z niego wrażliwe pliki bez logowania. „Tylko odczyt” brzmi niegroźnie, ale jeśli w odczytanych plikach są dane logowania kont serwisowych, napastnik dostaje gotowy klucz, a od tej chwili jego działania wyglądają w logach jak zwykła praca administratora.
💡 Ivanti EPM to serwer, z którego dział IT zarządza komputerami: instaluje programy, rozsyła poprawki, zbiera informacje o sprzęcie. Path traversal to błąd, w którym program odczytuje pliki spoza dozwolonego katalogu. Konto serwisowe to konto używane przez usługi do łączenia się między sobą, zwykle z szerokimi uprawnieniami. Atak relay przekazuje przechwycone dane logowania do innego systemu. KEV to katalog CISA z lukami wykorzystywanymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Odczyt pliku z serwera EPM | Tylko uprawniony administrator | Każdy z sieci, bez logowania |
Plik z opisem sieci i kont | Chroniony | Do odczytania z zewnątrz |
Konto serwisowe EPM | Używane tylko przez usługi | Może zostać wymuszone i przekazane do innego systemu |
Ślad po ataku | Alarm przy zmianach lub awarii | Brak, napastnik tylko czyta |
Skutek | Incydent na jednym serwerze | Mapa i klucze do całej sieci |
źródło: Pexels, Ferran PetitPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Najbardziej narażone są serwery EPM dostępne z internetu; przy dostępie tylko z sieci wewnętrznej napastnik musi najpierw się do niej dostać. CISA ocenia wykorzystanie jako aktywne i automatyzowalne, ze skutkiem całkowitym.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie serwerów Ivanti EPM w internecie | Lista serwerów |
2. Odczyt plików | T+sekundy | Żądanie do podatnego punktu z odwołaniem do wrażliwego pliku | Zawartość plików serwera |
3. Zdobycie poświadczeń | T+minuty | Odczyt danych kont serwisowych lub wymuszenie poświadczenia konta EPM | Klucze do systemów firmy |
4. Logowanie | T+godzina | Zalogowanie się przejętym kontem, wyglądające jak praca administratora | Legalny na oko dostęp |
5. Rozprzestrzenienie | T+dni | Wykorzystanie EPM do rozsyłania oprogramowania na komputery firmy | Kontrola nad stanowiskami |
6. Uderzenie | T+dni do tygodni | Kradzież danych lub szyfrowanie | Wyciek i przestój |
Serwer zarządzania komputerami to jeden z najcenniejszych celów: zna całą sieć i ma szerokie uprawnienia. Luka pozwalająca tylko czytać nie zostawia śladu, więc łatwo uznać, że skoro nic się nie zepsuło, nic się nie stało, podczas gdy wykradzione hasła działają dalej.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Rotacja haseł, przegląd serwera i zarządzanych stacji, możliwe odtwarzanie | Dni do tygodni | 20 tys. do 150 tys. PLN (prace IT, przestój) |
Bezpieczeństwo danych | Wyciek opisu sieci, kont i danych z zarządzanych komputerów | Godziny od ataku | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty dalszego włamania, okup, specjaliści | Tygodnie | 50 tys. do 800 tys. PLN |
Reputacyjny | Klienci dowiadują się o przejęciu systemu zarządzania | Tygodnie do miesięcy | 30 tys. do 300 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Ivanti EPM bez styczniowej poprawki
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest bardzo wysoki, bo z serwera zarządzania da się odczytać klucze do całej sieci; prawdopodobieństwo jest wysokie (EPSS około 90%, automatyzacja, potwierdzone ataki), a największe dla serwerów dostępnych z internetu.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić linię EPM (2024 czy 2022 SU6, czy starsza) i stan aktualizacji | Dziś | Administrator EPM |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy konsola EPM jest dostępna z internetu; jeśli tak, ograniczyć dostęp do sieci wewnętrznej lub VPN | Dziś | Administrator sieci |
3 | 🟠 PILNIE | Zainstalować styczniową aktualizację bezpieczeństwa 2025 dla swojej linii i sprawdzić, czy zarządzanie stacjami działa | Do 7 dni | Administrator EPM |
4 | 🟠 PILNIE | Zmienić (rotować) hasła kont serwisowych używanych przez EPM | Do 7 dni | Administrator |
5 | 🟠 PILNIE | Przejrzeć logi i konta w Active Directory pod kątem nowych lub nietypowych kont od stycznia 2025 roku | Do 7 dni | Administrator / zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Zaplanować przejście na wspieraną linię, jeśli firma ma wydanie starsze niż 2022 | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Ujednolicić oznaczenia luki (CVE, EUVD) w rejestrze zgłoszeń, by nie liczyć jej podwójnie | Do 30 dni | CTO |
Ivanti wydał styczniową aktualizację bezpieczeństwa 2025 dla obu wspieranych linii, więc aktualizacja jest możliwa. Do czasu jej instalacji poniższe miary ograniczają ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie konsoli EPM od internetu, dostęp tylko z sieci wewnętrznej lub przez VPN | Wysoka wobec ataków z zewnątrz | Średnia |
Ograniczenie uprawnień kont serwisowych EPM do niezbędnego minimum | Średnia: zmniejsza skutki wycieku poświadczeń | Średnia |
Wzmożone monitorowanie logowań kont serwisowych i zmian w Active Directory | Niska jako ochrona, przydatna do wykrycia | Średnia |
Segmentacja sieci wokół serwera EPM | Średnia | Średnia do trudnej |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja EPM | Bez styczniowej poprawki 2025 | Z poprawką lub na wspieranej linii |
Dostęp do konsoli | Możliwy z internetu | Tylko z sieci wewnętrznej |
Hasła kont serwisowych | Mogły wyciec, wciąż aktywne | Zmienione |
Konta w Active Directory | Niesprawdzone | Przejrzane pod kątem nowych kont |
Status wobec terminu CISA | Zaległość od 31 marca 2025 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); ocena CISA: aktywne, automatyzowalne, skutek całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg Ivanti (CVSS 3.1); 7.5 WYSOKA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | TAK: Horizon3 opublikował szczegółową analizę techniczną z przykładami żądań |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił lukę | Zespół badawczy Horizon3 |
Powiązane luki | CVE-2024-13159, CVE-2024-13160, CVE-2024-10811 w tym samym produkcie; trzy pierwsze w katalogu KEV |
Prognoza EPSS | 0,90081 (około 90%), wyżej niż 99,7% znanych luk; najniższa z trzech bliźniaczych luk (wg analizy źródłowej) |
Różnica ocen wynika z tego, czy liczy się samą lukę (odczyt, NVD 7.5), czy razem z tym, co przez nią wchodzi (Ivanti 9.8). Obie wartości są wysokie, a badacze pokazali, że „tylko odczyt” prowadzi do przejęcia kont.
Sygnały zagrożenia dla CVE-2024-13161
CVSS 3.1 (Ivanti) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (NVD) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS (próba w 30 dni) ~90% ██████████████████░░ BARDZO WYSOKA
Publiczny opis ataku TAK ████████████████████ Horizon3
CISA KEV TAK ████████████████████ ataki potwierdzone 2025-01-14 Publikacja CVE-2024-13161 w NVD, biuletyn i poprawka Ivanti,
analiza Horizon3
2025-03-10 CISA dodaje lukę do katalogu KEV (z dwiema bliźniaczymi)
2025-03-31 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 17 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: Ivanti Security Advisory EPM January 2025 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-13161 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa Ivanti EPM i w jakiej linii | CTO | DZISIAJ |
2 | Zlecić sprawdzenie, czy konsola EPM jest dostępna z internetu, i jej odcięcie | CTO | DZISIAJ |
3 | Zatwierdzić termin instalacji styczniowej aktualizacji 2025 | CTO | DO JUTRA |
4 | Zlecić rotację haseł kont serwisowych EPM | CTO | DO JUTRA |
5 | Zarezerwować budżet na przegląd Active Directory, jeśli wykryto ślady | CFO | DO JUTRA |
6 | Sprawdzić, czy firma ma wydanie starsze niż 2022 wymagające migracji | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | W jakiej linii i wersji działa nasz Ivanti EPM? | [wersja] | 🔴 |
2 | Czy konsola EPM jest dostępna z internetu? | TAK / NIE | 🔴 |
3 | Czy zainstalowano styczniową aktualizację bezpieczeństwa 2025? | TAK / NIE, [data] | 🔴 |
4 | Czy zmieniono hasła kont serwisowych EPM po aktualizacji? | TAK / NIE | 🟠 |
5 | Jakie uprawnienia mają konta serwisowe używane przez EPM? | [opis] | 🟠 |
6 | Czy w Active Directory pojawiły się nowe konta od stycznia 2025 roku? | TAK / NIE | 🟠 |
7 | Czy mamy wydanie starsze niż linia 2022? | TAK / NIE | 🟡 |
CVE-2024-13161 pozwala bez logowania odczytać wrażliwe pliki serwera Ivanti EPM, a z nich klucze do całej firmowej sieci; badacze pokazali, że prowadzi to do przejęcia kont. CISA potwierdza ataki, a poprawka jest dostępna od stycznia 2025 roku, więc dziś trzeba odciąć konsolę od internetu, a w tym tygodniu zainstalować aktualizację i zmienić hasła kont serwisowych.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.