Ivanti : Trois vulnĂ©rabilitĂ©s critiques, une clĂ© cryptographique codĂ©e en dur, des identifiants SQL exposĂ©s, et un produit encore utilisĂ© dans des milliers dâenvironnements dâentreprise : câest le cocktail explosif quâIvanti nous a servi ces derniers jours. Si vous cherchiez une raison pour accĂ©lĂ©rer la mise Ă jour de vos outils IT, la voici.
𧚠Le bug : quand la sécurité se fait tatouer le mot de passe
Trois vulnĂ©rabilitĂ©s bien dodues ont Ă©tĂ© identifiĂ©es dans Ivanti Workspace Control (IWC)âŻ:
- CVE-2025-5353Â (CVSS 8.8)
- CVE-2025-22455Â (CVSS 8.8)
- CVE-2025-22463Â (CVSS 7.3)
Le point commun ? Une clĂ© de chiffrement codĂ©e en dur, rĂ©utilisĂ©e dans toutes les installations. En clair, une fois la clĂ© connue, elle permet Ă nâimporte quel utilisateur local non privilĂ©giĂ© de dĂ©chiffrer les donnĂ©es les plus sensibles : identifiants SQL, mots de passe dâenvironnement, etc.
Le tout sans avoir besoin de ruser, de bruter ou dâexploiter un buffer overflow oubliĂ©. Non, ici, il suffit de tendre la main et de se servir. Merci pour le buffet libre-service, Ivanti.
đ ïž Versions touchĂ©es et pĂ©rimĂštre impactĂ©
Les versions concernées sont :
- Ivanti Workspace Control jusquâĂ la 10.19.0.0 incluse
Et quâest-ce que ça touche ?
- Les identifiants chiffrés dans la configuration IWC
- Les mots de passe SQL
- Les variables dâenvironnement stockĂ©es
- Les comptes de services liés à la configuration
Câest donc un jackpot pour tout attaquant interne : dev, admin nĂ©gligent, stagiaire curieux⊠MĂȘme pas besoin de droits admin pour dĂ©clencher le dĂ©sastre.
đ§Ș Le vecteur dâattaque : local, mais violent
Pas besoin dâun accĂšs rĂ©seau ni dâun shell distant. Il suffit dâavoir un accĂšs local authentifiĂ© sur un poste client, avec IWC installĂ©. Un script Python de quelques lignes ou un utilitaire PowerShell bien placĂ© et voilĂ : les identifiants tombent comme des mouches.
Ajoutez Ă cela le fait que la clĂ© est toujours la mĂȘme, quel que soit lâenvironnement, et vous obtenez une faille digne dâun mauvais plugin WordPress de 2007. On est en 2025, les amis.
â° Pourquoi câest (trĂšs) urgent
- Aucune protection native contre lâextraction des donnĂ©es chiffrĂ©es.
- Aucune rotation de clé possible pour les versions vulnérables.
- Exploitation trĂšs simple : pas besoin dâinteraction avec lâutilisateur ni de droits Ă©levĂ©s.
- Contexte post-exploitation rĂȘvĂ©Â : Ă©lĂ©vation de privilĂšges, rebond vers les bases de donnĂ©es, rĂ©cupĂ©ration dâautres secrets, voire prise de contrĂŽle complĂšte du SI.
Et pendant ce temps, Ivanti envoie tranquillement un communiquĂ© : « aucune exploitation connue Ă ce jour ». Oui, jusquâĂ la publication⊠maintenant, il ne reste quâĂ surveiller les GitHub underground.
đ§ Recommandations techniques
- Mise à jour immédiate vers la version 10.19.10.0, qui corrige les vulnérabilités.
- Rotation de tous les identifiants exposés : comptes SQL, comptes de services, mots de passe environnement.
- Revue complÚte des configurations : cherchez les credentials stockés ou utilisés par IWC.
- Migration recommandĂ©e vers Workspace Control 2025.2, qui abandonne le vieux systĂšme de chiffrement au profit dâune API TLS moderne.
- N’oubliez pas d’importer le certificat TLS « ShieldAPI » dans les Trusted Root Authorities de vos clients, sinon bonjour les erreurs de connexion.
- Renforcement de la sécurité locale : limiter les droits des utilisateurs sur les machines avec IWC, activer la journalisation poussée, filtrer les accÚs physiques et RDP.
đŹ Et sinon, Ivanti, on en parle ?
On pourrait pardonner une erreur de jeunesse, un oubli, une implĂ©mentation bancale. Mais une clĂ© cryptographique codĂ©e en dur, sĂ©rieusementâŻ? En 2025 ? Câest comme cacher la clĂ© USB contenant les mots de passe de tout un service RH sous le clavier. Mieux encore : câest lâutiliser partout, la mĂȘme, sans expiration, sans rotation, sans possibilitĂ© de modifier quoi que ce soit.
Le plus amusant ? Cette clĂ© est connue des dĂ©veloppeurs depuis belle lurette. Ce nâest pas une dĂ©couverte fortuite. Câest une mauvaise pratique dĂ©libĂ©rĂ©e, transformĂ©e en dette technique⊠que vous venez de payer comptant.
đ§ Conclusion : faites vos mises Ă jour ou changez de mĂ©tier
Ivanti Workspace Control, avec ces failles, devient un parfait cas dâĂ©cole pour vos prochaines formations internes :
- « Pourquoi ne jamais coder en dur une clé de chiffrement »
- « Comment un accÚs local non privilégié suffit à ruiner toute votre stratégie de cloisonnement »
- « Migration et gestion des secrets : ce que votre DSI refuse de regarder en face »
Alors, si vous utilisez encore IWC <10.19.10.0, vous ĂȘtes littĂ©ralement assis sur une mine. Et chaque jour sans patch, câest une Ă©pingle en plus sur le dĂ©tonateur.
Mettez Ă jour. Tournez la page. Et nâoubliez pas de changer vos mots de passe. Tous.
