Ivanti vá lỗ hổng zero-day MobileIron đang bị khai thác trong thực tế

Công ty phần mềm IT Ivanti vừa vá một lỗ hổng zero-day trong phần mềm quản lý thiết bị di động Endpoint Manager Mobile (EPMM, trước đây là MobileIron Core). Lỗ hổng truy cập API từ xa không xác thực, được theo dõi dưới tên CVE-2023-35078, đang bị khai thác trong các cuộc tấn công thực tế.

Lỗ hổng ảnh hưởng đến tất cả các phiên bản được hỗ trợ 11.10, 11.9 và 11.8. Các phiên bản cũ hơn cũng có nguy cơ.

Thông tin chi tiết về CVE-2023-35078 chỉ công bố giới hạn với khách hàng Ivanti. Hãng cũng xác nhận lỗ hổng cho phép người dùng không được ủy quyền truy cập vào các chức năng và tài nguyên bị hạn chế của ứng dụng mà không cần xác thực. Hiện chưa rõ số lượng khách hàng bị tấn công.

Các chuyên gia khuyến nghị quản trị viên cài đặt các bản vá sớm để đảm bảo an toàn cho hệ thống.

Ivanti

Nguồn: Bleeping Computer