Luka w Ivanti EPM pozwala bez logowania wymusić na serwerze wyciek plików i poświadczeń, a przez to przejąć narzędzie sterujące wszystkimi komputerami firmy. Wykorzystanie niemal pewne. Zainstaluj styczniową aktualizację 2025.
Ten alert jest dla zarządu, CTO i CFO firm, które zarządzają komputerami pracowników przez Ivanti Endpoint Manager (EPM). Werdykt: jeśli serwer EPM nie ma styczniowej aktualizacji bezpieczeństwa 2025 (dla linii 2024 lub dla 2022 SU6), zainstaluj ją NATYCHMIAST i odetnij serwer od internetu, bo nieuwierzytelniony napastnik może wymusić na nim wyciek danych, a wykorzystanie jest niemal pewne.
Amerykańska agencja CISA 10 marca 2025 roku dopisała CVE-2024-13159 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Błąd dotyczy Ivanti Endpoint Manager, serwera zarządzającego komputerami w firmie. Nieuwierzytelniony napastnik może przez sieć wskazać dowolną ścieżkę do pliku i zmusić serwer do jego wydania (wędrówka po ścieżce). Badacze Horizon3 pokazali, że w tej i pokrewnych lukach da się w ten sposób wymusić poświadczenia konta maszynowego serwera i użyć ich w atakach przekaźnikowych, prowadzących do przejęcia serwera.
Poprawka jest dostępna od 13 stycznia 2025 roku. Wskaźnik EPSS jest tu bliski 100%, jeden z najwyższych w bazie. Termin naprawy wg CISA minął 31 marca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-13159 (europejska baza ENISA: EUVD-2024-51385) |
Data dodania do CISA KEV | 2025-03-10 |
Termin naprawy wg CISA | 2025-03-31 |
Produkt | Ivanti Endpoint Manager (EPM), serwer zarządzania stanowiskami |
Wersje zagrożone | Wszystkie wydania starsze niż linia 2022, cała linia 2022 wraz z aktualizacjami zbiorczymi SU1 do SU6, oraz linia 2024 bez styczniowej aktualizacji 2025. Sama obecność SU6 nie wystarcza. Atak nie wymaga logowania |
Wersje bezpieczne | Styczniowa aktualizacja bezpieczeństwa 2025 dla EPM 2024 oraz dla EPM 2022 SU6. Wydania starsze niż linia 2022 nie mają nakładki, wymagają przejścia na wspieraną linię |
Typ podatności | Bezwzględna wędrówka po ścieżce prowadząca do wycieku danych, w tym poświadczeń; CWE-36 |
Ocena CVSS | Ivanti (producent): 9.8 KRYTYCZNA (CVSS 3.1, pełny wpływ). NVD: 7.5 WYSOKA (CVSS 3.1, tylko poufność). ENISA za producentem. Atak przez sieć, bez uprawnień i bez udziału użytkownika |
Wyobraź sobie archiwum z okienkiem podawczym. Klient podaje na kartce numer teczki, urzędnik idzie do regału i przynosi ją. Dopóki na kartkach są numery z właściwego regału, wszystko działa. Kłopot zaczyna się, gdy ktoś wpisze adres innego pokoju i piętra, na przykład „gabinet dyrektora, szafa z hasłami”, a urzędnik pójdzie tam bez zastanowienia, bo wykonuje dokładnie to, o co go poproszono.
Tak działa ta luka. Serwer EPM przyjmował od użytkownika nazwę pliku do wydania i nie sprawdzał, że przyszła pełna ścieżka wskazująca dowolne miejsce. Napastnik bez logowania mógł więc odczytać pliki, do których serwer ma dostęp. Gdy wśród nich są poświadczenia konta maszynowego, atak zamienia się z wycieku pliku w przejęcie serwera, który steruje wszystkimi firmowymi komputerami.
💡 Ivanti EPM to system zarządzania komputerami: rozsyła aktualizacje, wgrywa programy, pozwala przejąć zdalnie pulpit pracownika. Wędrówka po ścieżce (path traversal) to sztuczka, w której zamiast nazwy pliku podaje się pełną ścieżkę do innego. Konto maszynowe to tożsamość, którą serwer posługuje się w sieci Windows. Atak przekaźnikowy (relay) to przekazanie przechwyconych poświadczeń do innej usługi, żeby zalogować się jako serwer. Aktualizacja zbiorcza (SU) to duży pakiet poprawek do danej linii produktu. |
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Serwer EPM wydaje plik na żądanie | Tylko przewidziane pliki | Dowolny plik, do którego ma dostęp |
Logowanie do serwera | Wymagane | Niepotrzebne do tego ataku |
Poświadczenia konta serwera | Chronione | Można je wymusić i użyć do przejęcia serwera |
Serwer zarządzający flotą komputerów | Rozsyła poprawki i wgrywa programy | Może stać się narzędziem ataku na wszystkie stanowiska |
„Mamy najnowszą aktualizację zbiorczą SU6” | Brzmi jak ochrona | Nie wystarcza, poprawka jest osobną nakładką |
źródło: Pexels, Amar PreciadoPoniżej typowy przebieg ataku dla tej klasy podatności, dopasowany do analizy Horizon3. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga logowania, a według oceny CISA jest automatyzowalny, więc serwery EPM dostępne z internetu są przeczesywane masowo.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie serwerów Ivanti EPM dostępnych z internetu | Lista celów |
2. Wymuszenie żądania | T+minuty | Wysłanie żądania ze ścieżką wskazującą zdalny zasób sieciowy (UNC) | Serwer łączy się tam, gdzie wskaże napastnik |
3. Przechwycenie poświadczeń | T+minuty | Przejęcie poświadczeń konta maszynowego serwera | Tożsamość serwera w rękach napastnika |
4. Atak przekaźnikowy | T+minuty | Przekazanie poświadczeń do innej usługi (np. Active Directory) | Możliwe dodanie konta lub przejęcie serwera |
5. Wykorzystanie floty | T+godziny | Użycie EPM do rozesłania kodu na wszystkie zarządzane komputery | Kontrola nad całą flotą stanowisk |
6. Szkody | T+dni | Kradzież danych, szyfrowanie stanowisk | Wiele komputerów do odtworzenia, przestój |
Serwer EPM to nie kolejna maszyna w szafie, tylko pilot do całej floty komputerów. Jego przejęcie liczy się nie w jednym przestoju, ale w liczbie stanowisk do odtworzenia, przy jednoczesnym braku możliwości użycia zwykłego narzędzia do rozsyłania poprawek.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odtworzenie wielu stanowisk naraz, brak narzędzia do zarządzania w trakcie incydentu | Dni do tygodni | 50 tys. do 500 tys. PLN (przestój, odtwarzanie floty) |
Bezpieczeństwo danych | Wyciek plików z serwera i danych ze wszystkich zarządzanych komputerów | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Utracona produktywność całej firmy, koszty specjalistów, ewentualny okup | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Informacja o incydencie obejmującym wszystkie stanowiska | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwera Ivanti EPM bez poprawki
dostępnego z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest maksymalne (atak bez logowania, automatyzowalny, EPSS bliski 100%, potwierdzony przez CISA), a wpływ krytyczny, bo przejęty serwer daje kontrolę nad całą flotą komputerów; serwer dostępny tylko z sieci wewnętrznej ma niższe, ale nadal wysokie ryzyko.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić, czy serwer EPM jest dostępny z internetu, i odciąć go, jeśli tak | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Ustalić linię i wersję EPM oraz czy zainstalowano styczniową aktualizację bezpieczeństwa 2025 | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Zainstalować styczniową aktualizację 2025 (dla linii 2024 lub 2022 SU6) | Dziś | Administrator / partner IT |
4 | 🟠 PILNIE | Jeśli firma jest na wydaniu starszym niż 2022: zaplanować przejście na wspieraną linię, a do tego czasu trzymać serwer poza internetem | Do 7 dni | CTO |
5 | 🟠 PILNIE | Przejrzeć logi serwera i Active Directory pod kątem nietypowych logowań i nowych kont od stycznia 2025 | Do 7 dni | Administrator / zespół bezpieczeństwa |
6 | 🟠 PILNIE | Zmienić hasło konta maszynowego i kont usługowych EPM | Do 7 dni | Administrator |
7 | 🟡 WAŻNIE | Wpisać serwer EPM na krótką listę systemów aktualizowanych natychmiast po wydaniu poprawki | Do 30 dni | CTO |
Producent wydał poprawkę w styczniu 2025 dla linii 2024 i 2022 SU6. Dla wydań starszych niż 2022 nie ma nakładki, więc trzeba przejść na wspieraną linię. CISA wymaga zastosowania zaleceń producenta albo zaprzestania używania produktu. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie serwera EPM od internetu, dostęp tylko z sieci firmowej lub przez VPN | Wysoka wobec skanowania z zewnątrz | Łatwa do średniej |
Blokada wychodzącego ruchu SMB (port 445) z serwera EPM do internetu | Średnia do wysokiej: utrudnia atak przekaźnikowy na zewnątrz | Średnia |
Ograniczenie uprawnień konta serwera EPM w Active Directory | Średnia: zmniejsza skutki przekazania poświadczeń | Średnia |
Monitorowanie logowań konta maszynowego serwera | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja EPM | Bez styczniowej aktualizacji 2025 | Z zainstalowaną nakładką |
Dostęp do serwera | Z internetu | Tylko z sieci firmowej lub przez VPN |
Poświadczenia serwera | Można je wymusić bez logowania | Luka zamknięta, poświadczenia zmienione |
Wydania starsze niż 2022 | Bez możliwości poprawki | Plan przejścia na wspieraną linię |
Priorytet serwera EPM | Aktualizowany w oknie serwisowym | Na liście systemów łatanych natychmiast |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (Ivanti, CVSS 3.1); 7.5 WYSOKA (NVD, CVSS 3.1) |
PoC dostępny publicznie? | Horizon3 opublikował 19 lutego 2025 szczegółową analizę techniczną czterech powiązanych luk (w tym CVE-2024-13159) z przykładami żądań |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | 0,99992, jeden z najwyższych wyników w całej bazie (wg analizy źródłowej) |
Automatyzacja ataku | Wg oceny CISA (SSVC): tak; wpływ techniczny: całkowity |
To rzadki przypadek, w którym producent ocenił własny błąd surowiej niż NVD: patrzy dalej niż na sam wyciek pliku, bo wyciekają poświadczenia.
Sygnały zagrożenia dla CVE-2024-13159
CVSS 3.1 (Ivanti) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (NVD) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS (próba w 30 dni) ~100% ████████████████████ niemal pewne
Automatyzacja (CISA) TAK ████████████████████ skanowanie masowe
CISA KEV TAK ████████████████████ ataki potwierdzone 2024-10-15 Horizon3 zgłasza cztery luki Ivanti, w tym CVE-2024-13159
2025-01-13 Ivanti wydaje styczniową aktualizację bezpieczeństwa 2025
2025-01-14 Publikacja CVE-2024-13159 w NVD
2025-02-19 Horizon3 publikuje analizę techniczną luk
2025-03-10 CISA dodaje lukę do katalogu KEV
2025-03-31 Termin naprawy wg CISA dla agencji federalnych
... około 18 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Biuletyn producenta: Ivanti, Security Advisory EPM January 2025 . Analiza luk: Horizon3, Ivanti EPM Credential Coercion . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-13159 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, że serwer EPM nie jest dostępny z publicznego internetu | CTO | DZISIAJ |
2 | Uzyskać linię i wersję EPM oraz informację o styczniowej aktualizacji 2025 | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową instalację poprawki poza oknem serwisowym | CTO | DZISIAJ |
4 | Ustalić, czy firma jest na wydaniu starszym niż 2022, i zlecić plan przejścia | CTO | DO JUTRA |
5 | Zlecić przegląd logów i kont w Active Directory od stycznia 2025 | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
7 | Wpisać serwery zarządzania do kategorii systemów łatanych priorytetowo | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaką linię i wersję Ivanti EPM mamy? | [wersja] | 🔴 |
2 | Czy zainstalowano styczniową aktualizację bezpieczeństwa 2025? | TAK / NIE, [data] | 🔴 |
3 | Czy serwer EPM jest dostępny z internetu? | TAK / NIE | 🔴 |
4 | Czy jesteśmy na wydaniu starszym niż linia 2022? | TAK / NIE | 🟠 |
5 | Czy logi i Active Directory sprawdzono pod kątem nietypowych logowań od stycznia 2025? | TAK / NIE, [data] | 🟠 |
6 | Czy zmieniono hasło konta maszynowego i kont usługowych EPM? | TAK / NIE | 🟠 |
7 | Jakie uprawnienia w sieci ma konto serwera EPM? | [opis] | 🟡 |
CVE-2024-13159 w Ivanti Endpoint Manager pozwala bez logowania wymusić na serwerze wyciek plików, w tym poświadczeń, a przez atak przekaźnikowy przejąć serwer sterujący całą flotą komputerów. Wykorzystanie jest niemal pewne (EPSS bliski 100%), a poprawka dostępna od stycznia 2025 roku, więc odcięcie serwera od internetu i instalacja styczniowej aktualizacji 2025 to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.