Am 24. Juli 2023 wurde eine Zero-Day Schwachstelle im Endpoint Manager Mobile (EPMM) – ehemals vertrieben unter dem Namen MobileIron Core – von Ivanti geschlossen. Die Sicherheitslücke wird gemäß Common Vulnerabilities and Exposures (CVE) unter der Nummer CVE-2023-35078 gelistet und hat eine CVSS-Bewertung von 10.0 ("kritisch").

Sie ermöglicht einem nicht-authentifizierten Angreifer aus dem Internet über bestimmte API-Pfade Zugriff auf persönlich identifizierbare Informationen (PII), wie Namen, Telefonnummern und andere Details, auf verwundbaren Mobilgeräten zu erlangen (Authentication Bypass). Der Angreifer kann auch Konfigurationsänderungen vornehmen, einschließlich der Erstellung eines administrativen EPMM-Benutzerkontos, das weitere Änderungen an einem verwundbaren System vornehmen kann.

Am 28. Juli 2023 wurde eine weitere Schwachstelle in Ivanti EPMM bekanntgegeben zu der ein Patch bereitsteht. Die Schwachstelle mit der Kennung CVE-2023-35081 und einer CVSS-Bewertung von 7.2 erlaubt einen authentifizierten Administrator schadhafte Dateien auf EPMM Server zu schreiben (Arbitrary File Write) und so OS Befehle als tomcat Nutzer auszuführen.