Trzy bliźniacze luki w Ivanti EPM pozwalają bez logowania zmusić serwer do ujawnienia poświadczeń i mogą prowadzić do jego przejęcia. CISA potwierdza ataki. Zainstaluj styczniową aktualizację 2025 i ukryj konsolę.
Ten alert jest dla zarządu, CTO i CFO firm, które zarządzają komputerami pracowników przez Ivanti Endpoint Manager (EPM). Werdykt: jeśli serwer EPM nie ma styczniowej aktualizacji bezpieczeństwa 2025 (dla linii 2024 lub 2022 SU6), zainstaluj ją i odetnij konsolę od internetu dziś, bo trzy bliźniacze luki działają bez logowania i CISA potwierdza ich wykorzystanie w atakach.
Amerykańska agencja CISA 10 marca 2025 roku dopisała do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach, trzy luki w Ivanti EPM naraz: CVE-2024-13160, CVE-2024-13159 i CVE-2024-13161. Oficjalny opis mówi, że niezalogowany napastnik może wyciągnąć z serwera wrażliwe informacje.
Firma badawcza Horizon3.ai, która zgłosiła te błędy (razem z czwartym, CVE-2024-10811, którego nie ma w KEV), opisała skutek dosadniej: napastnik może zmusić serwer EPM do ujawnienia poświadczeń jego konta komputera i użyć ich przeciw innym systemom w sieci, co w sprzyjających warunkach kończy się przejęciem serwera. Serwer EPM zarządza wszystkimi komputerami w firmie, więc jego przejęcie otwiera drogę do całej floty. Wszystkie luki zamyka ta sama aktualizacja ze stycznia 2025 roku, a termin naprawy wg CISA minął 31 marca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-13160 (bliźniacze w KEV: CVE-2024-13159, CVE-2024-13161; ta sama seria zgłoszeń: CVE-2024-10811); w bazie europejskiej EUVD-2024-51386 |
Data dodania do CISA KEV | 2025-03-10 |
Termin naprawy wg CISA | 2025-03-31 (21 dni od wpisu) |
Produkt | Ivanti Endpoint Manager (EPM), serwer do zarządzania stanowiskami pracy |
Wersje zagrożone | Wszystkie wydania starsze niż linia 2022; EPM 2022 (wydanie podstawowe oraz SU1 do SU6) bez styczniowej aktualizacji bezpieczeństwa 2025; EPM 2024 bez styczniowej aktualizacji bezpieczeństwa 2025 |
Wersje bezpieczne | EPM 2024 z January-2025 Security Update oraz EPM 2022 SU6 z January-2025 Security Update, a także późniejsze aktualizacje tych linii. Najnowszą dostępną wersję potwierdź w portalu Ivanti |
Typ podatności | Bezwzględna wędrówka po ścieżce (Absolute Path Traversal), CWE-36; w praktyce wymuszenie ujawnienia poświadczeń serwera |
Ocena CVSS | Ivanti: 9.8 (CVSS 3.1, KRYTYCZNA, pełny wpływ). NVD: 7.5 (CVSS 3.1, WYSOKA, tylko poufność). Atak przez sieć, bez uprawnień i bez udziału użytkownika. Ta sama rozbieżność dotyczy wszystkich trzech numerów |
Wyobraź sobie kierownika administracji, który ma identyfikator otwierający wszystkie drzwi w firmie. Ktoś z ulicy dzwoni domofonem i mówi: „proszę podejść do furtki i przyłożyć identyfikator do mojego czytnika, bo muszę sprawdzić, czy działa”. Kierownik, zamiast odmówić, podchodzi i przykłada. Obcy ma teraz kopię uprawnień, którymi może otwierać drzwi w innych budynkach firmy.
Tak działały te luki. Serwer EPM na prośbę kogoś niezalogowanego łączył się z komputerem wskazanym przez napastnika i przy tym przedstawiał się swoimi poświadczeniami. Ponieważ serwer EPM ma szerokie uprawnienia do komputerów pracowników, taka „kopia identyfikatora” jest bardzo cenna.
💡 Konto komputera to tożsamość, pod którą serwer działa w firmowej domenie Windows (Active Directory). Wymuszenie poświadczeń (credential coercion) oznacza zmuszenie serwera, żeby sam przedstawił się obcemu systemowi. Atak relay to przekazanie tych poświadczeń dalej, do innego systemu, żeby podszyć się pod serwer. KEV to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Niezalogowana osoba łączy się z konsolą EPM | Musi się zalogować, inaczej nic nie uzyska | Może skłonić serwer do połączenia z jej komputerem |
Poświadczenia serwera EPM | Używane tylko w zaufanej komunikacji | Mogą trafić do napastnika |
Kontrola nad komputerami pracowników | Tylko dla administratorów EPM | Przejęcie serwera EPM daje drogę do całej floty |
Skaner podatności pokazuje trzy identyczne pozycje | Każda obsłużona osobno | Kusi, by dwie zamknąć jako duplikaty, a zostają przeoczone w audycie |
Konsola dostępna tylko z sieci wewnętrznej | Niewidoczna z internetu | Atak z zewnątrz praktycznie niemożliwy |
źródło: Pexels, Ron LachPoniżej typowy przebieg ataku dla tej klasy podatności, a nie odtworzenie konkretnego incydentu. Luki nie wymagają logowania, a CISA ocenia ich wykorzystanie jako możliwe do zautomatyzowania ze skutkiem całkowitym. Pełny skutek zależy od konfiguracji sieci Windows w firmie, dlatego etapy 3 i 4 nie zawsze się udają.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukiwanie serwerów Ivanti EPM osiągalnych z sieci | Lista celów |
2. Wymuszenie | T+kilka minut | Wykorzystanie luki, żeby serwer EPM połączył się z systemem napastnika | Przechwycone poświadczenia serwera |
3. Podszycie się | T+kilkadziesiąt minut | Użycie poświadczeń wobec innych systemów w domenie Windows | Nowe uprawnienia w sieci firmy |
4. Przejęcie serwera EPM | T+godziny | Uzyskanie uprawnień administratora na serwerze EPM | Kontrola nad narzędziem zarządzającym flotą |
5. Rozprzestrzenienie | T+1 do 3 dni | Wykorzystanie EPM do uruchamiania oprogramowania na komputerach pracowników | Dostęp do wielu stanowisk naraz |
6. Skutki | T+dni do tygodni | Kradzież danych, instalacja złośliwego oprogramowania, szantaż | Przestój i straty |
Narzędzie do zarządzania komputerami ma z definicji władzę nad każdym stanowiskiem. Luka w takim systemie nie dotyczy jednego serwera, tylko potencjalnie wszystkich komputerów, które on obsługuje.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zainfekowane lub zablokowane komputery w wielu działach naraz | Dni od wejścia | 50 tys. do 500 tys. PLN (przestój, odtwarzanie stanowisk) |
Bezpieczeństwo danych | Dostęp do danych na komputerach pracowników i w domenie Windows | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Koszty zewnętrznych specjalistów, odbudowy domeny, ewentualnego okupu | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, gorsza ocena w ankietach bezpieczeństwa dostawców | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwera Ivanti EPM
bez styczniowej aktualizacji 2025
Wpływ
5 | . . . . ■ ← KRYTYCZNA
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest najwyższe (atak bez logowania, możliwy do automatyzacji, publiczny opis badaczy, potwierdzone ataki), a wpływ krytyczny, bo przejęty serwer EPM daje władzę nad flotą komputerów; serwer z aktualizacją i konsolą niewidoczną z internetu schodzi do niskiego ryzyka.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma używa Ivanti EPM, w jakiej linii (2022 lub 2024) i czy ma styczniową aktualizację bezpieczeństwa 2025 | Dziś | Administrator EPM |
2 | 🔴 NATYCHMIAST | Jeśli konsola EPM jest dostępna z internetu: ograniczyć ją do sieci wewnętrznej lub VPN | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Zainstalować January-2025 Security Update (EPM 2024 lub EPM 2022 SU6); wydania starsze niż 2022 zaktualizować do wspieranej linii | Do 3 dni | Administrator EPM / partner IT |
4 | 🟠 PILNIE | Sprawdzić w domenie Windows, czy od stycznia 2025 nie pojawiły się nowe, nieznane konta komputerów lub zmiany uprawnień | Do 7 dni | Administrator Active Directory |
5 | 🟠 PILNIE | Przejrzeć logi serwera EPM pod kątem nietypowych połączeń wychodzących do nieznanych adresów | Do 7 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Zapisać w rejestrze zgłoszeń jedno zadanie z trzema numerami CVE, nazwą aktualizacji i datą instalacji | Po aktualizacji | Kierownik IT |
7 | 🟡 WAŻNIE | Ograniczyć połączenia wychodzące z serwera EPM tylko do niezbędnych systemów | Do 30 dni | Administrator sieci |
Producent wydał poprawkę dla obu wspieranych linii, więc docelowo trzeba ją zainstalować. Wydania starsze niż 2022 nie mają poprawki i wymagają przejścia na wspieraną linię albo, zgodnie z zaleceniem CISA, wycofania z użycia. Oceny poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Konsola EPM dostępna tylko z sieci wewnętrznej lub VPN | Wysoka wobec ataku z internetu, nie chroni przed napastnikiem już w sieci | Średnia |
Blokada połączeń wychodzących z serwera EPM do internetu i nieznanych hostów | Wysoka: utrudnia przekazanie poświadczeń napastnikowi | Średnia: wymaga listy niezbędnych połączeń |
Wymuszenie podpisywania komunikacji w domenie Windows (m.in. podpisywanie i wiązanie kanału LDAP na kontrolerach domeny) | Średnia do wysokiej: utrudnia wykorzystanie przechwyconych poświadczeń | Średnia do trudnej: wymaga testów zgodności |
Monitorowanie nowych kont komputerów w domenie | Niska jako ochrona, przydatna do wykrycia ataku | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Serwer EPM | Ujawnia poświadczenia na żądanie niezalogowanej osoby | Luka zamknięta styczniową aktualizacją |
Widoczność konsoli | Możliwa z internetu | Tylko sieć wewnętrzna lub VPN |
Domena Windows | Nieznany stan kont komputerów | Konta sprawdzone, brak nieznanych wpisów |
Rejestr zgłoszeń | Trzy pozycje, część zamknięta jako duplikaty | Jedno zadanie z trzema numerami CVE i datą |
Zgodność z terminem CISA | Zaległość ponad 1,5 roku | Luki zamknięte i udokumentowane |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA, wszystkie trzy numery). CISA ocenia wykorzystanie jako aktywne, możliwe do automatyzacji, ze skutkiem całkowitym |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA KEV: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg Ivanti; 7.5 WYSOKA wg NVD (obie CVSS 3.1) |
PoC dostępny publicznie? | TAK. Horizon3.ai opublikowało 19 lutego 2025 roku opis luk wraz z kodem demonstracyjnym |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Horizon3.ai (zgłoszenie do Ivanti 15 października 2024 roku) |
Prognoza EPSS | Około 91% dla CVE-2024-13160, blisko 100% dla CVE-2024-13159 (wg analizy źródłowej) |
Różne wartości EPSS dla bliźniaczych luk nie mają znaczenia dla decyzji: wszystkie zamyka jedna aktualizacja, więc wszystkie trzy traktuje się jako jedno pilne zadanie.
Sygnały zagrożenia dla CVE-2024-13160
CVSS 3.1 (Ivanti) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (NVD) 7.5/10 ███████████████░░░░░ WYSOKA
EPSS (próba w 30 dni) ~91% ██████████████████░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Publiczny kod (PoC) TAK ████████████████████ od 2025-02-19
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2024-10-15 Horizon3.ai zgłasza luki do Ivanti
2025-01-13 Ivanti wydaje poprawkę (styczniowa aktualizacja bezpieczeństwa)
2025-01-14 Publikacja CVE-2024-13159, -13160, -13161 w NVD
2025-02-19 Horizon3.ai publikuje opis luk z kodem demonstracyjnym
2025-03-10 CISA dodaje trzy luki do katalogu KEV
2025-03-31 Termin naprawy wg CISA
... ponad 1,5 roku od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: Security Advisory EPM January 2025 for EPM 2024 and EPM 2022 SU6 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-13160 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub partner IT używa Ivanti EPM | CTO | DZISIAJ |
2 | Uzyskać pisemną odpowiedź: linia EPM, zainstalowane aktualizacje i dostępność konsoli z internetu | CTO | DZISIAJ |
3 | Zatwierdzić odcięcie konsoli od internetu, jeśli aktualizacji brakuje | CTO | DZISIAJ |
4 | Zatwierdzić okno serwisowe na instalację January-2025 Security Update | CTO | DO JUTRA |
5 | Zlecić przegląd domeny Windows pod kątem nieznanych kont komputerów | CTO | DO JUTRA |
6 | Zarezerwować budżet na migrację z wydań starszych niż 2022, jeśli takie działają | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nienaprawionych znanych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy Ivanti EPM i w jakiej linii? | TAK / NIE, [linia i wersja] | 🔴 |
2 | Czy zainstalowano January-2025 Security Update i kiedy? | TAK / NIE, [data] | 🔴 |
3 | Czy konsola EPM jest dostępna z internetu? | TAK / NIE | 🔴 |
4 | Czy w rejestrze zgłoszeń wszystkie trzy numery CVE są oznaczone jako zamknięte tą aktualizacją? | TAK / NIE | 🟠 |
5 | Czy sprawdzono domenę Windows pod kątem nowych, nieznanych kont komputerów od stycznia 2025? | TAK / NIE, [data] | 🟠 |
6 | Czy serwer EPM może łączyć się z dowolnymi adresami w internecie? | TAK / NIE | 🟠 |
7 | Czy kontrolery domeny wymuszają podpisywanie i wiązanie kanału LDAP? | TAK / NIE | 🟡 |
CVE-2024-13160 i dwie bliźniacze luki w Ivanti EPM pozwalają bez logowania zmusić serwer do ujawnienia poświadczeń, co może prowadzić do przejęcia narzędzia zarządzającego wszystkimi komputerami firmy. CISA potwierdza ataki, publiczny kod istnieje od lutego 2025 roku, a termin naprawy minął 31 marca 2025 roku, więc instalacja styczniowej aktualizacji i odcięcie konsoli od internetu to zadania na dziś, a przegląd domeny na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.