CVE-2026-10523

Authentication Bypass w Ivanti Sentry — tworzenie kont admina bez uwierzytelnienia

CVSS 9.9v3.1pub. 2026-06-09upd. 2026-06-22

Podatność typu Authentication Bypass (CWE-288) w Ivanti Sentry umożliwia zdalnemu, nieuwierzytelnionemu atakującemu tworzenie dowolnych kont administracyjnych i uzyskanie pełnego dostępu administratorskiego. Oceniona jako KRYTYCZNA z wynikiem CVSS 9.9, stanowi poważne zagrożenie dla organizacji korzystających z dotkniętych wersji produktu.

▸ Pokaż oryginał (EN)

An Authentication Bypass vulnerability (CWE-288) in Ivanti Sentry before the R10.5.2, R10.6.2 and R10.7.1 versions allows a remote unauthenticated attacker to create arbitrary administrative accounts and obtain full administrative access

🤖 Analiza AI

Jak działa

Podatność polega na obejściu mechanizmu uwierzytelnienia (CWE-288), co oznacza, że atakujący może uzyskać dostęp do chronionych zasobów bez przejścia przez wymagane procedury weryfikacji tożsamości. Atakujący zdalnie, bez posiadania jakichkolwiek poświadczeń, jest w stanie wywołać funkcje administracyjne systemu Ivanti Sentry. W rezultacie możliwe jest stworzenie nowych kont z uprawnieniami administratora, co skutkuje pełnym przejęciem kontroli nad urządzeniem.

Skutki

Atakujący uzyskuje pełny dostęp administracyjny do systemu Ivanti Sentry, co obejmuje wysoką poufność, integralność oraz dostępność zasobów. Może to prowadzić do całkowitego przejęcia infrastruktury obsługiwanej przez Ivanti Sentry, w tym danych przesyłanych przez urządzenie.

Mitygacja

Należy niezwłocznie zaktualizować Ivanti Sentry do wersji R10.5.2, R10.6.2 lub R10.7.1 (odpowiednio do posiadanej gałęzi produktu). Szczegóły dostępne w oficjalnym biuletynie bezpieczeństwa Ivanti pod adresem wskazanym w referencjach.