CVE-2021-44529
Ivanti Endpoint Manager Cloud Service Appliance (EPM CSA) Code Injection Vulnerability
Beschreibung
CVE-2021-44529 ist eine kritische Code-Injection-Schwachstelle in der Ivanti Endpoint Manager Cloud Services Appliance (EPM CSA), die es einem unauthentifizierten Angreifer ermoeglicht, beliebigen Code auf dem System auszufuehren. Die Schwachstelle wird mit einem CVSS-Score von 9.8 (CRITICAL) bewertet und betrifft CSA-Versionen bis einschliesslich 4.5 sowie Version 4.6.
Die CISA hat CVE-2021-44529 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-04-15. Der EPSS-Score von 94,46 % (100. Perzentil) zeigt die hoechstmoegliche Ausnutzungswahrscheinlichkeit an. Die Schwachstelle wird bestaetigt von Ransomware-Gruppen ausgenutzt, was die Dringlichkeit der Behebung zusaetzlich erhoeht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ivanti | endpoint manager cloud services appliance | <= 4.5; 4.6 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/166383/Ivanti-Endpoint-Manager-CSA-4.5-4.6-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/170590/Ivanti-Cloud-Services-Appliance-CSA-Command-Injection.html(Exploit, Third Party Advisory, VDB Entry)
- https://forums.ivanti.com/s/article/SA-2021-12-02(Mitigation, Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-44529(US Government Resource)
Schwachstellentyp
Code Injection in Ivanti EPM CSA
CVE-2021-44529 ist eine Code-Injection-Schwachstelle in der Ivanti Endpoint Manager Cloud Services Appliance (CSA). Die Schwachstelle ermoeglicht es einem unauthentifizierten Angreifer, beliebigen Code einzuschleusen und auf dem System auszufuehren, allerdings mit eingeschraenkten Rechten (nobody-Benutzer). Diese Schwachstellenklasse faellt in den Bereich von CWE-94 (Improper Control of Generation of Code), bei der eine Anwendung unzureichend validierte Eingaben in auszufuehrenden Code einbettet.
Die Ivanti CSA dient als Verbindungspunkt zwischen Endpunkten und dem Ivanti Endpoint Manager und verarbeitet sensible Verwaltungsdaten. Eine Kompromittierung dieser Appliance kann als Sprungbrett fuer Angriffe auf die gesamte Endpoint-Management-Infrastruktur dienen.
Weitere Informationen: CWE-94 -- Improper Control of Generation of Code
Auswirkungsanalyse
Die Auswirkungen von CVE-2021-44529 sind kritisch, da die Ivanti CSA eine zentrale Rolle in der Endpoint-Management-Infrastruktur spielt. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt die maximale Bedrohungsstufe. Vertraulichkeit (Hoch): Der Angreifer kann auf Konfigurationsdaten der CSA zugreifen, einschliesslich Verbindungsinformationen zum Ivanti Endpoint Manager, Authentifizierungs-Tokens und Netzwerkkonfigurationen. Integritaet (Hoch): Beliebiger Code kann ausgefuehrt werden, was die Installation von Backdoors, die Manipulation der Endpoint-Verwaltung und das Einschleusen von Schadsoftware ermoeglicht. Verfuegbarkeit (Hoch): Die CSA kann deaktiviert werden, was die zentrale Verwaltung aller Endpunkte unterbricht.
Der EPSS-Score von 94,46 % (100. Perzentil) und die bestaetigt aktive Nutzung durch Ransomware-Gruppen machen CVE-2021-44529 zu einer der gefaehrlichsten Ivanti-Schwachstellen. Obwohl die Codeausfuehrung zunaechst mit eingeschraenkten Rechten (nobody) erfolgt, koennen Angreifer durch Post-Exploitation-Techniken die Rechte auf dem System weiter eskalieren.
Exploit-Reifegrad
CVE-2021-44529 weist eine ausserordentlich hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-04-15 in den KEV-Katalog aufgenommen. Der EPSS-Score betraegt 94,46 % (100. Perzentil). Die Schwachstelle wird bestaetigt in Ransomware-Angriffen ausgenutzt. Mehrere oeffentliche Exploits sind verfuegbar: Packet Storm hat einen Remote-Code-Execution-Exploit fuer CSA 4.5 und 4.6 veroeffentlicht, und ein weiterer Exploit auf Packet Storm demonstriert die Command Injection im Detail. Das Ivanti Security Advisory stellt offizielle Patch-Informationen und Mitigationsmassnahmen bereit.
Behebung
-
Ivanti CSA umgehend aktualisieren: Installieren Sie das von Ivanti bereitgestellte Sicherheitsupdate fuer die Cloud Services Appliance. Konsultieren Sie das Ivanti Security Advisory SA-2021-12-02 fuer die exakten gepatchten Versionen und Installationsanweisungen. Aktualisieren Sie auf die neueste verfuegbare CSA-Version.
-
CSA-Zugang auf vertrauenswuerdige Netzwerke beschraenken: Stellen Sie sicher, dass die Ivanti CSA nicht direkt aus dem Internet erreichbar ist. Platzieren Sie die Appliance hinter einer Firewall und beschraenken Sie den Zugriff auf autorisierte Verwaltungs-Netzwerke und die notwendigen Endpunkt-Kommunikationsports.
-
Forensische Untersuchung der CSA durchfuehren: Da die Schwachstelle aktiv ausgenutzt wird, sollten Sie Ihre CSA-Installationen auf Anzeichen einer Kompromittierung untersuchen. Ueberpruefen Sie Protokolldateien auf verdaechtige Aktivitaeten, suchen Sie nach unautorisierten Dateien und pruefen Sie die Integritaet der CSA-Konfiguration.
-
Endpoint-Manager-Infrastruktur ueberpruefen: Da eine kompromittierte CSA als Sprungbrett fuer Angriffe auf die Endpoint-Management-Infrastruktur dienen kann, ueberpruefen Sie den Ivanti Endpoint Manager auf unautorisierte Aenderungen, verdaechtige Aufgaben oder unbekannte Softwareverteilungen.
-
Zugangsdaten und Zertifikate rotieren: Aendern Sie alle auf der CSA konfigurierten Zugangsdaten, einschliesslich Dienstkonto-Passwoerter, API-Schluessel und Zertifikate. Wenn eine Kompromittierung vermutet wird, rotieren Sie auch die Zugangsdaten des verbundenen Endpoint Managers.
Technische Details
CVE-2021-44529 betrifft die Ivanti Endpoint Manager Cloud Services Appliance (CSA) in den Versionen bis einschliesslich 4.5 sowie Version 4.6. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt die maximale Bedrohungsstufe ohne Scope-Aenderung. Angriffsvektor (Netzwerk): Die Schwachstelle ist ueber HTTP/HTTPS erreichbar. Angriffskomplexitaet (Niedrig): Der Exploit erfordert keine besonderen Bedingungen oder spezifisches Wissen. Berechtigungen (Keine): Keinerlei Authentifizierung erforderlich. Benutzerinteraktion (Keine): Der Angriff laeuft vollstaendig automatisiert ab.
Der Angriffsmechanismus nutzt eine Code-Injection-Schwachstelle in der Webkomponente der CSA aus. Durch speziell praeparierte HTTP-Anfragen kann ein Angreifer beliebigen Code einschleusen, der im Kontext des nobody-Benutzers ausgefuehrt wird. Obwohl die initiale Ausfuehrung mit eingeschraenkten Rechten erfolgt, kann ein erfahrener Angreifer durch lokale Privilege-Escalation-Techniken vollstaendige Root-Rechte auf der Appliance erlangen. Die CSA verwaltet die Kommunikation zwischen Endpunkten und dem Ivanti Endpoint Manager, sodass eine Kompromittierung weitreichende Auswirkungen auf die gesamte Endpoint-Verwaltungsinfrastruktur haben kann.
Häufig gestellte Fragen
Wird CVE-2021-44529 fuer Ransomware-Angriffe genutzt?
Ja, die CISA fuehrt den Ransomware-Status explizit als "Known" im KEV-Katalog. Die Schwachstelle wird aktiv von Ransomware-Gruppen ausgenutzt, die ueber kompromittierte CSA-Appliances in Unternehmensnetzwerke eindringen und die Endpoint-Management-Infrastruktur fuer die Verteilung von Ransomware missbrauchen.
Was bedeutet die Ausfuehrung als nobody-Benutzer?
Der eingeschleuste Code wird zunaechst mit den eingeschraenkten Rechten des nobody-Benutzers ausgefuehrt, was den direkten Zugriff auf bestimmte Systemressourcen begrenzt. Erfahrene Angreifer koennen jedoch durch lokale Privilege-Escalation-Schwachstellen vollstaendige Root-Rechte auf der Appliance erlangen.
Welche Ivanti CSA-Versionen sind betroffen?
Betroffen sind alle CSA-Versionen bis einschliesslich 4.5 sowie Version 4.6. Ivanti hat Sicherheitsupdates bereitgestellt, die die Schwachstelle beheben. Ueberpruefen Sie das Ivanti Security Advisory SA-2021-12-02 fuer die genauen gepatchten Versionen.
Kann eine kompromittierte CSA fuer Angriffe auf verwaltete Endpunkte genutzt werden?
Ja, die CSA fungiert als Verbindungspunkt zwischen Endpunkten und dem Ivanti Endpoint Manager. Eine kompromittierte CSA kann als Sprungbrett genutzt werden, um Schadsoftware an verwaltete Endpunkte zu verteilen, Konfigurationen zu manipulieren oder sensible Verwaltungsdaten abzufangen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.