CVE-2024-13160
Publiée le 2025-01-14 · Dernière modification le 2026-06-17 KEV — activement exploitée
Les serveurs Ivanti Endpoint Manager (EPM) sont affectés par une faille de traversée de répertoire (path traversal) qui permet à un attaquant d'accéder à des fichiers situés en dehors du répertoire web prévu. Un attaquant distant peut exploiter cette vulnérabilité sans aucune authentification ni interaction de l'utilisateur pour divulguer des informations système sensibles ou potentiellement modifier des fichiers critiques. Comme elle ne nécessite qu'un accès réseau au serveur et aucun privilège particulier, son exécution est triviale.
ACTIVEMENT EXPLOITÉE (KEV DE LA CISA)
Ivanti Endpoint Manager (EPM) Absolute Path Traversal Vulnerability — Ivanti Endpoint Manager (EPM) contains an absolute path traversal vulnerability that allows a remote unauthenticated attacker to leak sensitive information. Ajoutée au catalogue KEV de la CISA le 2025-03-10. Date limite de correction (agences fédérales américaines) : 2025-03-31.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Absolute path traversal in Ivanti EPM before the 2024 January-2025 Security Update and 2022 SU6 January-2025 Security Update allows a remote unauthenticated attacker to leak sensitive information.