O que foi divulgado
A principal correção, identificada como CVE-2025-10918, resulta de permissões padrão inseguras no agente do Endpoint Manager em versões anteriores a 2024 SU4. A falha recebeu CVSS 7.1 (High) e está alinhada com CWE-276 (incorrect default permissions). Ivanti também incorporou patches para CVE-2025-9713 e CVE-2025-11622, divulgados em outubro de 2025, que contribuem para o mesmo modelo de risco (gravação arbitrária de arquivos).
Detalhes técnicos
- CVE-2025-10918 — permissões padrão inseguras no agente; requer acesso local autenticado; CVSS 7.1 (AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H).
- CVE-2025-9713 — path traversal potencialmente explorável por atacante remoto sem autenticação (user interaction); CVSS 8.8 (High) — permite RCE via importação maliciosa.
- CVE-2025-11622 — insecure deserialization que permite escalada de privilégios por atacante local autenticado; CVSS 7.8 (High).
Impacto e alcance
As versões afetadas incluem Ivanti Endpoint Manager 2024 SU3 SR1 e anteriores. A ramificação 2022 do produto entrou em end-of-life ao final de outubro de 2025, o que significa que não receberá correções; organizações que ainda usam essa linha precisam migrar para 2024 SU4 para mitigar riscos.
Mitigações e recomendações
- Aplicar imediatamente o update 2024 SU4 disponibilizado no portal de licenciamento da Ivanti para instâncias elegíveis.
- Para sistemas na branch 2022 (EOL), planejar migração urgente para uma versão suportada ou isolar sistemas até que seja possível atualizar.
- Revisar permissões locais do agente, políticas de hardening e monitoramento de alterações de arquivos sensíveis que possam indicar exploração (escrita de arquivos em diretórios críticos).
- Complementar com controles de detecção para padrões de path traversal e serialização insegura em logs de aplicação e rede.
Ocorrência em ambiente real e divulgação
Ivanti informa que não há evidências de exploração em clientes até a data do advisory e agradece ao pesquisador Enrique Fernández Lorenzo (bighound) pela divulgação responsável de CVE-2025-10918. Ainda assim, o risco operacional motivou a disponibilização imediata do patch.
Limites
O advisory não apresenta indicadores públicos de comprometimento (IoCs) nem descrições de exploits em circulação; as recomendações focam na aplicação dos patches e revisão de configurações. Organizações com inventário EPM devem priorizar detecção e correção.