Resumen ejecutivo
Ivanti ha corregido vulnerabilidades en los productos Ivanti User Workspace Manager, Ivanti Sentry, Ivanti Endpoint Manager Mobile, Ivanti Cloud Services Application e Ivanti Endpoint Manager. Las vulnerabilidades más relevantes son una inyección SQL remota en el componente Core de Ivanti Endpoint Manager, que permite a un atacante remoto sin autenticación ejecutar código arbitrario y potencialmente tomar control del sistema, y una omisión de autenticación en Ivanti Cloud Services Application, que permite añadir o eliminar entradas de certificados de confianza sin credenciales. La primera requiere enviar solicitudes manipuladas al vector vulnerable y la segunda, acceso de red para enviar solicitudes de gestión de certificados. No se conoce explotación activa; se recomienda actualizar de inmediato y aplicar las mitigaciones indicadas por Ivanti.
Recursos afectados
- Ivanti User Workspace Manager
- Ivanti Sentry
- Ivanti Endpoint Manager Mobile
- Ivanti Cloud Services Application (CSA) 5.0.8
- Ivanti Endpoint Manager (EPM) 2024 SU7 y anteriores
Análisis técnico
- CVE-2026-121653: La vulnerabilidad SQL injection en el componente "Core" de Ivanti Endpoint Manager (versiones anteriores a 2024 SU8) permite a un atacante remoto no autenticado ejecutar código de forma arbitraria. El impacto potencial es la ejecución remota de código en el sistema afectado, con posible toma de control y acceso a información. Para explotarla, el atacante debe enviar una solicitud manipulada a través de un vector vulnerable del Core, logrando que la aplicación ejecute consultas SQL no previstas.
- CWE-89
- CVSS: 9.8 (crítica)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- Explotación: No detectada
- CVE-2026-121683: La falta de autenticación en Ivanti Cloud Services (Application) v5.0.8 permite que un atacante remoto sin credenciales agregue y elimine entradas arbitrarias de certificados confiables de EPM Core. Esto podría facilitar la manipulación del sistema de confianza y habilitar acciones maliciosas, como la aceptación de certificados no autorizados. Para explotar, el atacante solo necesita acceso de red al servicio afectado y poder enviar solicitudes de alta/baja para esas entradas de certificados.
- CWE-306
- CVSS: 9.4 (crítica)
- Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H
- Explotación: No detectada
Mitigación / Solución
Para mitigar los problemas de seguridad descritos, el fabricante recomienda resolverlos actualizando: en Ivanti Cloud Services Application (CSA) actualizar de 5.0.8 a 5.0.8.1 (las versiones 5.0.7 y anteriores no están impactadas); además, como mitigación o workaround, si CSA se ejecuta con configuración Dual NIC conforme a las best practices documentadas por Ivanti, la exposición queda limitada a la interfaz interna y no puede explotarse externamente. En Ivanti Endpoint Manager (EPM), actualizar desde 2024 SU7 y anteriores a Ivanti EPM 2024 SU8, disponible en el ILS.