NVD / CVE Programı· CNA hackerone

CVE-2023-35081: A path traversal vulnerability in Ivanti EPMM versions (11.10.x < 11.10.0.3, 11.9.x < 11.9.1.2 and 11.8.x < 11.8.1.2) allows an authenticat

Noroxi değerlendirmesi

Öncelik: Bu hafta (aksiyon skoru 77/100)

CISA bu açığın sahada sömürüldüğünü doğruladı (31 Tem 2023). ABD kamu kurumları için kapatma son tarihi 21 Ağu 2023.
Önümüzdeki 30 günde sömürülme olasılığı %63,5 (FIRST EPSS); kayıtların %99,2 kadarından yüksek.
İnternetten erişebilen herkes tetikleyebilir. Yönetici yetkisi gerekir. Kullanıcının bir şey yapması gerekmez. Özel bir koşul gerekmez; tekrarlanabilir.
Kayda göre henüz düzeltme sürümü yok.

Bir sonraki bakım penceresini beklemeyin. Düzeltme yayımlanana kadar etkilenen bileşene erişimi kısıtlayın ve üreticinin duyurusunu izleyin.

Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz

Birincil kaynaklar: NVD · CVE.org · CISA KEV · FIRST EPSS

A path traversal vulnerability in Ivanti EPMM versions (11.10.x < 11.10.0.3, 11.9.x < 11.9.1.2 and 11.8.x < 11.8.1.2) allows an authenticated administrator to write arbitrary files onto the appliance.

YüksekCVSS 7.2 · v3.1KEVSilahlaştırılmış Düzeltme kaydı yok

Yol geçişi

BDU:2023-04503

Yayın: 3 Ağu 2023
Güncelleme: 17 Haz 2026
EPSS: %63,5 · 99. yüzdelik
CWE: CWE-22

Rapor araçları

JSON

Aksiyon skoru

Bu hafta

Bir sonraki bakım penceresini beklemeyin.

CVSS: 28 / 40 · 7.2 / 10
CISA KEV: 30 / 30 · Listede
EPSS: 19 / 30 · %63,5

CISA SSVC kararı

Sömürü: aktif
Otomatikleştirilebilir: hayır
Teknik etki: tam

Vulnrichment: CISA'nın karar ağacı girdileri.

CNA ile NVD puanı

NVD: 7,2
CNA · hackerone: 7,2; uyumlu

CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.

Sahada aktif sömürülüyor

CISA bu zafiyeti 31 Tem 2023 tarihinde fiilen sömürülen zafiyetler kataloğuna (KEV) ekledi. Bu, teoriyi değil, gerçek saldırıları işaret eder.

ABD federal kurumları için son yama tarihi: 21 Ağu 2023.

Bu kayıt değişirse haber alın

CISA KEV'de: sahada sömürüldüğü doğrulandı
Silahlaştırılmış istismar var
Düzeltme sürümü henüz yok

Bunlardan biri değişirse günlük e-posta özetinde haber veririz.

WordPress siteniz mi var? WP Lens ile ücretsiz tarayın

Sürümünüz etkileniyor mu? Kontrol edin

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.

Bu ürünü kullanıyoruz, yardım isteyin

Etkilenen sistemler

Sürümünüz etkileniyor mu?

Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.

Üretici	Ürün	CPE
ivanti	endpoint manager mobile	cpe:2.3:a:ivanti:endpoint_manager_mobile

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.

ivanti endpoint manager mobile11.8.0 ve sonrası · 11.8.1.2 öncesi
ivanti endpoint manager mobile11.9.0 ve sonrası · 11.9.1.2 öncesi
ivanti endpoint manager mobile11.10.0 ve sonrası · 11.10.0.3 öncesi

Üreticinin bildirdiği sürümler

Kaydı açan otorite (hackerone) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

Ivanti EPMM
- 11.10.0.3 ve sonrası · 11.10.0.3 öncesietkilenir

Aynı üründe

ivanti: tüm kayıtlar

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

CVE-2026-1340A code injection in Ivanti Endpoint Manager Mobile allowing attackers to achieve unauthenticated remote code execution.KEV
99Hemen
CVE-2026-1281A code injection in Ivanti Endpoint Manager Mobile allowing attackers to achieve unauthenticated remote code execution.KEV
99Hemen
CVE-2023-35082An authentication bypass vulnerability in Ivanti EPMM 11.10 and older, allows unauthorized users to access restricted functionality or resouKEV
99Hemen

Bu üründe bundan önce ve sonra yayımlananlar

← ÖncekiCVE-2023-3507825 Tem 2023 · An authentication bypass vulnerability in Ivanti EPMM allows unauthorized users to access restricted functionality or resources of the appliKEV
99Hemen
Sonraki →CVE-2023-3933514 Kas 2023 · A security vulnerability has been identified in EPMM Versions 11.10, 11.9 and 11.8 and older allowing an unauthenticated threat actor to imp
40Planlayın
Sonraki →CVE-2023-3933714 Kas 2023 · A security vulnerability in EPMM Versions 11.10, 11.9 and 11.8 older allows a threat actor with knowledge of an enrolled device identifier t
37İzleyin

Düzeltme

Hangi sürüme geçmeli

Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.

Bu kayıt için kayıtlı bir düzeltme sürümü yok. Üretici bildirimleri için referanslara bakın.

İstismar durumu

Silahlaştırılmış

Bu zafiyet için hazır bir istismar aracı ya da sahada aktif kullanım biliniyor. Önceliğiniz en üst düzeyde olmalı.

Araştırma bağlamı

Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.

Zaman çizelgesi

Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.

CISA KEV31 Tem 2023-4 gün
Yayın3 Ağu 2023
Bugün28 Eki 2026+1182 gün

EPSS son 120 gün

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Yama ve commit bağlantıları

Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.

Referanslarda commit ya da PR bağlantısı yok.

Kredi

Tüm araştırmacılar

CNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıklayın, aynı araştırmacının diğer kayıtlarını görün.

CNA kaydında kredi yok.

Varyant adayları

Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.

—

Zincir adayları

Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.

CVE-2023-350789 gün araylaAn authentication bypass vulnerability in Ivanti EPMM allows unauthorized users to access restricted functionality or resources of the appliKEV
99Hemen
CVE-2023-3508212 gün araylaAn authentication bypass vulnerability in Ivanti EPMM 11.10 and older, allows unauthorized users to access restricted functionality or resouKEV
99Hemen

Bug bounty kapsamı

Bilinen herkese açık program yok.

Kaynak: bounty-targets-data (HackerOne, Bugcrowd, Intigriti, YesWeHack herkese açık listeleri).

Teknik detay

Saldırı koşulları

İnternetten erişebilen herkes tetikleyebilir.
Yönetici yetkisi gerekir.
Kullanıcının bir şey yapması gerekmez.
Özel bir koşul gerekmez; tekrarlanabilir.

Başarılı olursa

Gizlilik: yüksek · veriler okunabilir
Bütünlük: yüksek · veri ya da yapılandırma değiştirilebilir
Erişilebilirlik: yüksek · hizmet durdurulabilir

Saldırı vektörü: Ağ
Karmaşıklık: Düşük
Gereken yetki: Yüksek
Kullanıcı etkileşimi: Gerekmez
Kapsam: Değişmez
Gizlilik etkisi: Yüksek
Bütünlük etkisi: Yüksek
Erişilebilirlik etkisi: Yüksek

Zayıflık sınıfı (CWE)

CWE-22 · Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')

CVSS vektörü

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

nvd-primary

Kök neden

Kullanıcının verdiği dosya adı izin verilen klasörle birleştiriliyor, ama sonucun hâlâ o klasörün içinde olup olmadığı kontrol edilmiyor.

Hatanın kod karşılığı

CWE-22 sınıfının tamamı

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

Hatalı

1const file = path.join(ROOT, req.query.name);
2res.sendFile(file);

Düzeltilmiş

1const file = path.resolve(ROOT, req.query.name);
2if (!file.startsWith(ROOT + path.sep)) {
3  return res.sendStatus(400);
4}
5res.sendFile(file);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.

Saldırı desenleri (CAPEC)

ATT&CK teknikleri

—

Değişiklik günlüğü

Bu kayıtta izlenen alanlarda henüz değişiklik kaydı yok. Skor, KEV, istismar olgunluğu ve düzeltme durumu değiştiğinde burada görünür.

Referanslar

forums.ivanti.com/s/article/CVE-2023-35081-Arbitrary-File-Write?language=en_US

Tüm referansları göster (1 daha)

www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-35081

Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.

Tüm kayıtlar