CVE-2024-13159
Publiée le 2025-01-14 · Dernière modification le 2026-06-17 KEV — activement exploitée
Les installations d'Ivanti Endpoint Manager (EPM) sont affectées par une faille de traversée de chemin (path traversal) qui permet à des attaquants distants de lire ou de divulguer des fichiers système sensibles. Un attaquant peut exploiter cette vulnérabilité via le réseau sans avoir besoin de mot de passe ni d'aucune interaction de la part d'un utilisateur légitime. Comme elle ne nécessite aucune authentification et est triviale à exécuter, elle présente un risque élevé pour la confidentialité et l'intégrité du système.
ACTIVEMENT EXPLOITÉE (KEV DE LA CISA)
Ivanti Endpoint Manager (EPM) Absolute Path Traversal Vulnerability — Ivanti Endpoint Manager (EPM) contains an absolute path traversal vulnerability that allows a remote unauthenticated attacker to leak sensitive information. Ajoutée au catalogue KEV de la CISA le 2025-03-10. Date limite de correction (agences fédérales américaines) : 2025-03-31.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Absolute path traversal in Ivanti EPM before the 2024 January-2025 Security Update and 2022 SU6 January-2025 Security Update allows a remote unauthenticated attacker to leak sensitive information.