Ivanti (Pulse/Connect Secure) Seite 4

Eine schwache Validierungslogik in den Routinen der Device-Dissociation-API erlaubt es einer entfernten Instanz, nicht zugehörige Benutzer-Endpunkte zwangsweise zu trennen. Dies kann einen schwerwiegenden Denial of Service verursachen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

IBM App Connect Enterprise 13.0.1.0 bis 13.0.7.0 speichert potenziell vertrauliche Informationen in Log-Dateien, die von einem lokalen Benutzer gelesen werden können. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

OP-TEE ist ein Trusted Execution Environment (TEE), das als Ergänzung zu einem Non-Secure-Linux-Kernel auf Arm-Cortex-A-Kernen mit TrustZone-Technologie läuft. Ab Version 4.3.0 besteht eine Schwachstelle, die einem lokal privilegierten Angreifer die Beeinträchtigung der Verfügbarkeit ermöglichen kann. CVSS-Basiswert: 4.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

OP-TEE ist eine Trusted Execution Environment (TEE), die als Begleiter zu einem nicht-sicheren Linux-Kernel auf Arm-Cortex-A-Kernen mit TrustZone-Technologie ausgelegt ist. In Versionen vor 4.11.0 besteht auf vielen betroffenen Geräten eine Schwachstelle, die die Vertraulichkeit beeinträchtigen kann. CVSS-Basiswert: 4.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: auf OP-TEE 4.11.0 oder neuer aktualisieren.

In Ivanti Xtraction vor Version 2026.2.1 besteht ein Open Redirect, über den ein entfernter, nicht authentifizierter Angreifer Nutzer auf beliebige externe URLs umleiten kann. CVSS-Basiswert: 4.0 (Mittel). Empfohlene Massnahme: auf Version 2026.2.1 oder neuer aktualisieren.

In Citrix Secure Access Client für Windows und Citrix Endpoint Analysis Client für Windows besteht eine Schwachstelle durch unsachgemässe Rechteverwaltung (Improper Privilege Management). Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: die vom Hersteller bereitgestellten Updates einspielen.

Im Citrix Secure Access Client für Windows besteht eine Out-of-bounds-Read-Schwachstelle. Betroffen sind Versionen vor 26.6.1.20. Ein CVSS- und ein EPSS-Wert liegen in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: den Citrix Secure Access Client auf Version 26.6.1.20 oder neuer aktualisieren.

In Kiteworks (einem privaten Datennetzwerk) wurde vor Version 9.3.0 eine Insecure-Direct-Object-Reference-Schwachstelle (IDOR) in den Secure Data Forms entdeckt, die einem authentifizierten Benutzer den unberechtigten Zugriff auf Metadaten ermöglicht. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In open62541 bis Version 1.5.5 wurde eine Schwachstelle in der Funktion responseReadNamespacesArray der Datei src/client/ua_client_connect.c der Komponente Shared Client Library identifiziert. CVSS-Basiswert: 3.1 (Niedrig). Empfohlene Massnahme: auf eine korrigierte Version aktualisieren, sobald diese vom Hersteller bereitgestellt wird.

Der selbst gehostete Terminplaner Easy!Appointments übergibt in Versionen vor 1.6.0 in der Funktion Caldav::connect_to_server (application/controllers/Caldav.php) die aus der Anfrage stammende caldav_url an einen HTTP-Client, was eine Server-Side Request Forgery ermöglicht. CVSS-Basiswert: 2.7 (Niedrig). Empfohlene Massnahme: auf Easy!Appointments 1.6.0 oder neuer aktualisieren.