Betroffen ist Ivanti Neurons for ITSM, eine Plattform für IT-Service-Management, sowohl in der Cloud-Variante als auch bei lokaler Installation im eigenen Rechenzentrum. Die Schwachstelle beruht auf einer fehlerhaften Zugriffskontrolle: Die Anwendung prüft nicht ausreichend, ob ein angemeldeter Benutzer für bestimmte Aktionen oder Bereiche überhaupt berechtigt ist. Dadurch kann ein Angreifer, der sich über das Netzwerk mit einem gültigen – auch gering privilegierten – Konto anmeldet, administrative Rechte erlangen. Mit einem solchen Verwaltungszugang lässt sich die Service-Management-Umgebung weitreichend kontrollieren: Konfigurationen, Benutzerkonten und die darin verarbeiteten Daten stehen offen. Da ITSM-Systeme typischerweise mit vielen anderen IT-Diensten verknüpft sind und sensible Vorgangs- und Organisationsdaten enthalten, reicht die Wirkung über die Anwendung selbst hinaus. Voraussetzung für den Angriff ist lediglich ein vorhandenes Benutzerkonto, keine physische Nähe zum System.