Die Schwachstelle steckt im Core-Bestandteil von Ivanti Endpoint Manager. Dort lässt sich ein Dateiname von außen beeinflussen: Die Anwendung übernimmt Angaben zum Speicherort beziehungsweise Dateinamen, ohne sie ausreichend zu prüfen. Ein Angreifer, der sich zuvor am System anmelden kann, aber über das Netzwerk agiert, erhält dadurch vollständige Schreibkontrolle über den S3-Speicher, der für die Ablage der Sitzungsaufzeichnungen konfiguriert ist. Er kann dort also beliebige Dateien ablegen, vorhandene Inhalte überschreiben oder manipulieren. Praktisch bedeutet das, dass aufgezeichnete Sitzungen verfälscht oder unbrauchbar gemacht werden können und fremde Inhalte in einen als vertrauenswürdig geltenden Speicherbereich gelangen – was sich weiter missbrauchen lässt, wenn andere Komponenten auf diese Daten zugreifen. Betroffen sind Installationen von Ivanti Endpoint Manager, bei denen die Aufzeichnung von Sitzungen in einem S3-Bucket eingerichtet ist.