Bulletin d'alerte du CERT-FR

Json

Objet : Multiples vulnérabilités dans Ivanti Endpoint Manager Mobile (EPMM)

Gestion du document

Référence	CERTFR-2025-ALE-007
Titre	Multiples vulnérabilités dans Ivanti Endpoint Manager Mobile (EPMM)
Date de la première version	14 mai 2025
Date de la dernière version	24 juin 2025
Source(s)	Bulletin de sécurité Ivanti epmm-security-update du 13 mai 2025 Bulletin de sécurité Ivanti Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM du 13 mai 2025

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

Contournement de la politique de sécurité
Exécution de code arbitraire à distance

Systèmes affectés

Endpoint Manager Mobile versions 11.12.0.x antérieures à 11.12.0.5
Endpoint Manager Mobile versions 12.3.0.x antérieures à 12.3.0.2
Endpoint Manager Mobile versions 12.4.0.x antérieures à 12.4.0.2
Endpoint Manager Mobile versions 12.5.0.x antérieures à 12.5.0.1

Résumé

[Mise à jour du 15 mai 2025]
Une preuve de concept est publiquement disponible sur Internet.

[Publication initiale]
Le 13 mai 2025, Ivanti a publié deux avis de sécurité concernant les vulnérabilités CVE-2025-4427 et CVE-2025-4428. L'utilisation combinée de ces deux vulnérabilités permet l'exécution de code arbitraire à distance pour un utilisateur non authentifié.

Ivanti indique que ces vulnérabilités sont activement exploitées.

Solutions

Le CERT-FR recommande l'application des correctifs dans les plus brefs délais.

Ivanti indique que la mise en place de listes de contrôle d'accès au niveau de l'API [1] permet de limiter la menace. De plus l'éditeur peut mettre à disposition une mesure de contournement sous la forme d'un fichier RPM.

Documentation

Bulletin de sécurité Ivanti epmm-security-update du 13 mai 2025
https://www.ivanti.com/blog/epmm-security-update
Bulletin de sécurité Ivanti Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM du 13 mai 2025
https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Endpoint-Manager-Mobile-EPMM
[1] Documentation d'Ivanti relative à l'utilisation des listes de contrôle d'accès
https://help.ivanti.com/mi/help/en_us/core/12.x/sys/CoreSystemManager/Access_Control_Lists__Po.htm
Avis CERT-FR CERTFR-2025-AVI-0400 du 13 mai 2025
/avis/CERTFR-2025-AVI-0400/
Référence CVE CVE-2025-4427
https://www.cve.org/CVERecord?id=CVE-2025-4427
Référence CVE CVE-2025-4428
https://www.cve.org/CVERecord?id=CVE-2025-4428

Gestion détaillée du document

Date	Description
14 mai 2025	Version initiale
15 mai 2025	Une preuve de concept est publiquement disponible.
24 juin 2025	Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.