CVE-2024-13161criticalbajo ataqueCWE-36

CVE-2024-13161: fallo crítico en Ivanti Endpoint Manager

Publicada el · Actualizada el

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 90%
de la publicación al arma
Publicada en NVD14 ene
CISA KEV+55d
probabilidad de explotación
90%top 1% de las CVE
explotación observada
síCISA + VulnCheck
1 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2025-03-31

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Una falla de seguridad en Ivanti EPM permite que atacantes accedan a archivos en cualquier lugar del servidor usando rutas de archivo manipuladas, potencialmente exponiendo datos sensibles de la empresa sin necesidad de iniciar sesión.

Detalle técnico

Vulnerabilidad de travesía de ruta absoluta en Ivanti EPM (anteriores a las actualizaciones de seguridad de enero-2025) permite divulgación de información por atacantes remotos no autenticados mediante validación inadecuada de rutas. Vector de ataque es desde la red sin autenticación requerida; el impacto incluye acceso no autorizado a archivos e información del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Absolute path traversal in Ivanti EPM before the 2024 January-2025 Security Update and 2022 SU6 January-2025 Security Update allows a remote unauthenticated attacker to leak sensitive information.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Ivanti · Endpoint Manager
PoCs públicas encontradas — 1
cve_referencewww.horizon3.ai/attack-research/attack-blogs/ivanti-endpoint-manager-multiple-credential-coercion-vulnerabilities/no verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Ivanti Endpoint Manager

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-13159CRITICALCVE-2024-13159EPSS 100.0%KEVCVE-2024-13160CRITICALCVE-2024-13160EPSS 91.2%KEVCVE-2026-1603HIGHCVE-2026-1603EPSS 87.9%KEVCVE-2024-13162HIGHCVE-2024-13162EPSS 64.2%CVE-2024-50330CRITICALCVE-2024-50330EPSS 40.3%CVE-2025-10573CRITICALCVE-2025-10573EPSS 33.5%
Referencias
https://forums.ivanti.com/s/article/Security-Advisory-EPM-January-2025-for-EPM-2024-and-EPM-2022-SU6https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-13161https://www.horizon3.ai/attack-research/attack-blogs/ivanti-endpoint-manager-multiple-credential-coercion-vulnerabilities/