Ivanti закрыла 13 уязвимостей в EPM, CSA и Sentry, включая SQL-инъекцию с CVSS 9.8

Ivanti выпустила ноябрьские обновления для Endpoint Manager, Endpoint Manager Mobile, Sentry, Cloud Services Application и User Workspace Manager. Всего закрыто 13 уязвимостей, две из них критические: SQL-инъекция в EPM Core с CVSS 9.8 и обход аутентификации в CSA с CVSS 9.4. Обе срабатывают без учётных данных, поэтому интернет-доступные EPM и CSA нужно обновлять в первую очередь.

Что закрыли

Бюллетень охватывает пять продуктов Ivanti, которые обычно стоят в контуре управления конечными устройствами и мобильными парками. Часть ошибок требует прав администратора, часть работает без аутентификации. Разница принципиальная: там, где нужны высокие привилегии, уязвимость чаще используют для закрепления после компрометации. Там, где привилегии не нужны, точка входа открыта снаружи.

SQL-инъекция в EPM Core

Самая опасная запись - CVE-2026-121653 в ядре Endpoint Manager до версии 2024 SU8. Это SQL-инъекция (CWE-89): данные, пришедшие от атакующего, попадают в SQL-запрос как исполняемая конструкция, а не как значение. В результате неудачная фильтрация ввода превращается в выполнение команд на сервере.

Вектор описывает атаку по сети с низкой сложностью, без привилегий и без участия пользователя. То есть для срабатывания не нужен ни вход в систему, ни клик сотрудника. CVSS 9.8 складывается из высокого влияния на конфиденциальность, целостность и доступность: сервер управления конечными устройствами хранит агентские данные и умеет рассылать команды на подчинённые системы.

Для администратора вывод простой. Если консоль EPM смотрит в интернет или доступна из смежных сегментов, где есть недоверенные узлы, это первоочередная цель. Ограничение по IP снижает риск, но не устраняет ошибку в коде.

Вторая проблема EPM - CVE-2026-18128 с CVSS 6.8. Агент передаёт сведения в открытом виде (CWE-319), поэтому атакующий в позиции «человек посередине» может читать и изменять HTTP-трафик. Здесь нужна высокая сложность атаки и участие пользователя, но последствия ощутимые: подмена данных, которые сервер получает от агента, бьёт по инвентаризации и по логике применения политик.

Обход аутентификации в CSA

В Cloud Services Application уязвима только версия 5.0.8. Ошибка CVE-2026-121683 с CVSS 9.4 - отсутствие проверки аутентификации (CWE-306). Неаутентифицированный атакующий может добавлять и удалять произвольные записи доверенных сертификатов EPM Core.

Это не просто изменение списка. Доверенные сертификаты определяют, каким узлам EPM Core доверяет связка с облачными сервисами. Подмена записи открывает путь к подмене канала связи и к внедрению в цепочку управления. Влияние на конфиденциальность оценено как низкое, на целостность и доступность - как высокое.

Исправление - CSA 5.0.8.1. Версии 5.0.7 и старше не затронуты, так что проверять нужно конкретную сборку, а не факт наличия продукта. Ivanti отдельно отмечает: конфигурация с двумя сетевыми интерфейсами ограничивает доступ внутренним интерфейсом. Это разумная изоляция, но она не заменяет патч, особенно если внутренний сегмент тоже неоднородный.

EPMM и Sentry: атаки с правами администратора

В Endpoint Manager Mobile закрыто шесть уязвимостей. CVE-2026-105425 с CVSS 7.2 - инъекция команд операционной системы (CWE-78). Она требует удалённого доступа и высоких привилегий, но даёт выполнение кода. Та же ошибка присутствует в Sentry.

Рядом идут ошибки, которые сами по себе выглядят скромнее, однако в связке с админской учётной записью дают заметный эффект. CVE-2026-105426 (CVSS 6.7) позволяет менять параметры ядра Linux от имени root. CVE-2026-105427 (CVSS 4.9) навсегда отключает все службы Apache HTTPS, то есть приводит к отказу в обслуживании. CVE-2026-107404 (CVSS 4.9) удаляет произвольные файлы на диске. CVE-2026-107405 (CVSS 5.5) вызывает отказ в обслуживании из локального контекста. CVE-2026-83528 (CVSS 4.9) раскрывает персональные данные, защищённые GDPR.

Исправленные версии EPMM - 12.11.0.0, 12.10.0.1 и 12.9.0.3. Три ветки означают, что обновляться можно без немедленного перехода на мажорную версию, но выбирать нужно ту, что соответствует текущей линейке.

В Sentry отдельные обновления получили CVE-2026-105425, CVE-2026-105669, CVE-2026-123179 и CVE-2026-123181. CVE-2026-105669 (CVSS 6.7) позволяет администратору запускать существующие бинарники через инъекцию аргументов. CVE-2026-123179 (CVSS 5.5) вызывает отказ в обслуживании через слушатель Tomcat. CVE-2026-123181 (CVSS 5.5) даёт создавать файлы и каталоги от имени root через обход пути. Исправления - 11.0.0, 10.8.3 и 10.7.4.

UWM и токен сессии

В User Workspace Manager ошибка CVE-2026-105813 с CVSS 6.3 - хранение чувствительных данных в открытом виде (CWE-312). Локальный аутентифицированный атакующий может получить токен сессии другого пользователя. Атака локальная, привилегии низкие, участие пользователя не требуется.

Для рабочей станции с общим доступом это означает переход в чужую сессию без пароля. Исправление - UWM 2026.4.

Затронутые версии

Endpoint Manager: 2024 SU7 и более ранние, исправление - 2024 SU8.
Cloud Services Application: только 5.0.8, исправление - 5.0.8.1.
Endpoint Manager Mobile: исправления - 12.11.0.0, 12.10.0.1, 12.9.0.3.
Sentry: исправления - 11.0.0, 10.8.3, 10.7.4.
User Workspace Manager: исправление - 2026.4.

Если обновиться нельзя

Вендор не приводит обходных мер в записях CVE. Остаются меры архитектурные. Закройте консоли EPM и CSA от прямого доступа из интернета и из пользовательских сегментов. Оставьте только доверенные адреса администраторов.

Проверьте, не расширены ли списки доверенных сертификатов в CSA. Сверьте записи с эталоном. После установки патча убедитесь, что версия действительно изменилась: в EPM и CSA наличие прав администратора не отменяет риск.

Для EPMM и Sentry ограничьте число учётных записей с административными правами и включите журналирование их действий. Ошибки с инъекцией команд и обходом пути эксплуатируются именно из-под такой учётной записи.