Kerngegevens
- Leverancier
- Ivanti
- Product
- Ivanti Xtraction
- Soort software
- VPN
- Getroffen versies
- Ivanti Xtraction alle versies voor 2026.4
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Ivanti Xtraction 2026.4
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 13 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Ivanti Xtraction zit een kritiek lek waarbij de naam of het pad van een bestand of doel door een gebruiker te beïnvloeden is. Een aanvaller kan hierdoor verzoeken die de applicatie zelf verstuurt, laten doorsturen naar een eigen server. Zo kan hij de inloggegevens van de EPMM-connector te pakken krijgen die de applicatie meestuurt.
Wie loopt risico?
Je loopt risico als je een versie van Ivanti Xtraction gebruikt die ouder is dan 2026.4. De aanvaller moet wel kunnen inloggen, maar kan het lek daarna via het netwerk misbruiken zonder dat een andere gebruiker iets hoeft te doen. Gebruik je Xtraction met een koppeling naar EPMM, dan zijn die inloggegevens in gevaar. In de gegevens staat geen aanwijzing dat het lek al actief wordt misbruikt.
Wat moet je doen?
Controleer je versie
Kijk na of je Ivanti Xtraction gebruikt en welke versie er draait. Versies ouder dan 2026.4 zijn getroffen.
Werk Xtraction bij
Installeer Ivanti Xtraction 2026.4 of nieuwer. Volg hiervoor de beveiligingsmelding van Ivanti over Xtraction.
Vervang de EPMM-inloggegevens
Overweeg de inloggegevens van de EPMM-connector te vernieuwen als je vermoedt dat iemand met een account misbruik heeft kunnen maken. Controleer ook de accounts die toegang hebben tot Xtraction.
Beperk de toegang
Zorg dat Xtraction niet onnodig bereikbaar is vanaf internet en dat alleen gebruikers die het echt nodig hebben een account hebben.
Lees het advies van Ivanti
Dezelfde beveiligingsmelding van Ivanti beschrijft meer lekken in Xtraction. Met de update naar 2026.4 pak je ze in één keer aan.
Dezelfde update lost meer lekken op
Dezelfde update verhelpt ook CVE-2026-106047, CVE-2026-106043. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is ingedeeld als CWE-73, externe controle over een bestandsnaam of pad. Een geauthenticeerde aanvaller kan een waarde die het pad of het doel van een door de applicatie gegenereerd verzoek bepaalt zo aanpassen dat het verzoek bij een door hem beheerd eindpunt terechtkomt. De applicatie stuurt in dat verzoek de inloggegevens van de EPMM-connector mee, waardoor die bij de aanvaller belanden. De aanval verloopt via het netwerk, is weinig complex en vereist geen interactie van een andere gebruiker. De CVSS-vector (scope changed, hoge impact op vertrouwelijkheid, integriteit en beschikbaarheid) laat zien dat de gevolgen verder reiken dan Xtraction zelf.
CVSS-vector (versie 3.1, basisscore 9,9, bron: CNA)
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-73 · Externe controle over bestandsnaam of pad
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 0,8%
- Aanvalscode openbaar
- Nee