A Ivanti lançou atualizações de segurança para corrigir três vulnerabilidades críticas de chaves codificadas (hardcoded key vulnerabilities) em sua solução Ivanti Workspace Control (IWC).
O IWC auxilia administradores empresariais a gerenciar desktops e aplicações, atuando como intermediário entre o sistema operacional e os usuários, regulando o acesso e a configuração do ambiente de trabalho.
Ele oferece controle centralizado sobre os espaços de trabalho dos usuários e configura dinamicamente desktops, aplicativos e configurações de usuários com base em políticas e papéis de usuários.
Todas as três falhas de segurança são causadas pelo uso de uma chave criptográfica codificada e imutável, podendo levar à escalada de privilégios e comprometimento do sistema após uma exploração bem-sucedida e dependendo da conta alvo durante um possível ataque.
Duas falhas de segurança (
CVE-2025-5353
e
CVE-2025-22455
) permitem que atacantes autenticados localmente decifrem credenciais SQL armazenadas em sistemas rodando a versão 10.19.0.0 ou anterior do IWC.
A terceira vulnerabilidade corrigida hoje (
CVE-2025-22463
) também possibilita que atacantes autenticados localmente decifrem a senha do ambiente armazenado.
"A Ivanti lançou atualizações para o Ivanti Workspace Control, que abordam três vulnerabilidades de alta gravidade.
Uma exploração bem-sucedida pode levar ao comprometimento de credenciais", afirmou a empresa hoje.
Felizmente, a empresa ainda não encontrou evidências de que essas vulnerabilidades tenham sido alvo de ataques antes de serem divulgadas.
"Não temos conhecimento de nenhum cliente que tenha sido explorado por essas vulnerabilidades antes da divulgação pública.
Essas vulnerabilidades foram divulgadas por meio do nosso programa de divulgação responsável", acrescentou a Ivanti.
A Ivanti anunciou anteriormente que o IWC alcançará o fim da vida útil em dezembro de 2026, após o qual patches de segurança e suporte técnico não estarão mais disponíveis.
Em maio, a empresa também corrigiu uma vulnerabilidade crítica de bypass de autenticação na solução de gerenciamento de serviços de TI Neurons for ITSM e duas falhas de zero-day no software Endpoint Manager Mobile (EPMM) usadas em ataques de execução de código remoto.
Um dos zero-days (uma falha de execução de código remoto rastreada como
CVE-2025-4428
) foi explorada por hackers chineses para invadir agências governamentais e organizações de alto perfil mundialmente.
Um mês antes, a Ivanti corrigiu uma vulnerabilidade crítica de zero-day no Connect Secure, explorada por um grupo de espionagem vinculado à China (UNC5221) em ataques de execução de código remoto para implantar malware desde meados de março de 2025.
Publicidade
A Dola é uma IA que funciona diretamente no WhatsApp ou Telegram, permitindo que você gerencie sua agenda — seja do Google Calendar ou do iPhone — de forma simples e intuitiva, mandando mensagens de texto, áudio ou até imagens.
Com a Dola, você recebe lembretes inteligentes, ligações na hora dos compromissos, resumo diário da sua agenda, pode fazer perguntas a qualquer momento e até receber, todos os dias, a previsão do tempo.
Perfeita para quem busca mais organização, foco e produtividade no dia a dia.
E o melhor: é gratuito! Experimente agora.
Saiba mais...