CVE-2023-35082
Ivanti Endpoint Manager Mobile (EPMM) and MobileIron Core Authentication Bypass Vulnerability
Beschreibung
CVE-2023-35082 ist eine kritische Authentifizierungsumgehungs-Schwachstelle im Ivanti Endpoint Manager Mobile (EPMM), früher bekannt als MobileIron Core, die Versionen 11.10 und älter betrifft. Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern aus dem Internet, auf eingeschränkte Funktionen und Ressourcen der Anwendung ohne gültige Anmeldedaten zuzugreifen. Mit einem CVSS-Score von 9.8 (KRITISCH) stellt diese Schwachstelle eine unmittelbare Gefahr für betroffene Systeme dar, da keinerlei Benutzerinteraktion oder Vorauthentifizierung erforderlich ist. CVE-2023-35082 ist als verwandte, aber eigenständige Schwachstelle zu CVE-2023-35078 zu verstehen und ist im CISA KEV-Katalog als aktiv ausgenutzt gelistet, was einen dringenden Handlungsbedarf bedeutet.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ivanti | endpoint manager mobile | < 11.11.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Referenzen
Schwachstellentyp
CWE-287: Improper Authentication
Diese Schwachstelle ist der Kategorie CWE-287 (Improper Authentication) zuzuordnen. Bei dieser Schwachstellenklasse versäumt es eine Anwendung, die Identität eines Benutzers oder Prozesses korrekt zu überprüfen oder durchzusetzen, bevor Zugriff auf schutzbedürftige Funktionen gewährt wird.
Technischer Hintergrund: Im Fall von CVE-2023-35082 fehlt in bestimmten API-Endpunkten von Ivanti EPMM eine ordnungsgemäße Authentifizierungsprüfung. Angreifer können diese Endpunkte direkt ansprechen, ohne gültige Sitzungstokens oder Anmeldedaten vorweisen zu müssen. Die Schwachstelle ist einzigartig und von CVE-2023-35078 zu unterscheiden, obwohl beide denselben Produktbereich betreffen.
Risiko: Schwachstellen vom Typ CWE-287 sind besonders gefährlich, weil sie die Grundlage der Zugangskontrolle untergraben. Sobald die Authentifizierung umgangen wird, sind alle dahinter liegenden Ressourcen und Funktionen exponiert, unabhängig von weiteren Sicherheitsmaßnahmen.
Auswirkungsanalyse
Vertraulichkeit (HOCH): Angreifer können ohne Authentifizierung auf sensible Daten zugreifen, die in Ivanti EPMM verwaltet werden. Dazu zählen Gerätekonfigurationen, Benutzerdaten, Unternehmensrichtlinien und möglicherweise Anmeldedaten verwalteter mobiler Geräte in der gesamten Organisation.
Integrität (HOCH): Die Schwachstelle erlaubt es Angreifern, Konfigurationen und Ressourcen im System zu manipulieren. Angreifer können Richtlinien verändern, neue Geräteprofile einschleusen oder bestehende Verwaltungsstrukturen kompromittieren.
Verfügbarkeit (HOCH): Durch den unbefugten Zugriff auf administrative Funktionen können Angreifer Dienste unterbrechen, Konfigurationen löschen oder den Betrieb des Mobile-Device-Management-Systems erheblich stören.
Scope: Die Schwachstelle betrifft nicht nur das EPMM-System selbst, sondern potenziell alle über die Plattform verwalteten Endgeräte. Da EPMM als zentrale MDM-Plattform fungiert, kann eine erfolgreiche Ausnutzung zu einer flächendeckenden Kompromittierung der mobilen Infrastruktur eines Unternehmens führen.
Ransomware-Bezug: Laut CISA KEV-Katalog ist eine Verbindung zu Ransomware-Kampagnen bekannt, was das Risikopotenzial dieser Schwachstelle erheblich erhöht.
Exploit-Reifegrad
Aktive Ausnutzung bestätigt: CVE-2023-35082 wird laut CISA KEV-Katalog aktiv in freier Wildbahn ausgenutzt. Der EPSS-Score von 0.944 (99. Perzentile) bestätigt eine extrem hohe Wahrscheinlichkeit aktiver Ausnutzung, was diese Schwachstelle zu einer der dringlichsten im betroffenen Produktbereich macht.
Angriffskomplexität: Die Angriffskomplexität ist als NIEDRIG eingestuft. Angreifer benötigen keine besonderen Vorkenntnisse, keine Vorauthentifizierung und müssen keine besonderen Bedingungen erfüllen, um die Schwachstelle auszunutzen. Der Angriffsvektor ist über das Netzwerk zugänglich, was Angriffe aus dem Internet ermöglicht.
Ransomware-Verbindung: Im CISA KEV-Katalog ist eine Verbindung zu Ransomware-Gruppen dokumentiert. Bedrohungsakteure haben die Schwachstelle gezielt für initiale Zugänge in Unternehmensnetze verwendet, um anschließend weitere Angriffsphasen einzuleiten.
Frist: Die CISA-Behörde hat den 8. Februar 2024 als verbindliche Abhilfefrist für US-Bundesbehörden festgelegt.
Behebung
- Sofortiger Patch: Aktualisieren Sie Ivanti Endpoint Manager Mobile (EPMM) auf eine Version, die den Fix für CVE-2023-35082 enthält. Konsultieren Sie dazu den Ivanti-Sicherheitshinweis unter https://forums.ivanti.com/s/article/CVE-2023-35082-Remote-Unauthenticated-API-Access-Vulnerability-in-MobileIron-Core-11-2-and-older.
- Workaround anwenden: Falls ein sofortiger Patch nicht möglich ist, wenden Sie die von Ivanti bereitgestellten Mitigationsmaßnahmen gemäß Hersteller-Anweisungen an. Schränken Sie den Zugriff auf das EPMM-Managementinterface auf vertrauenswürdige Netzwerke und IP-Adressen ein.
- Internetexposition prüfen: Prüfen Sie, ob das EPMM-Portal aus dem Internet erreichbar ist, und isolieren Sie es hinter einem VPN oder einer Firewall, um die Angriffsfläche zu reduzieren.
- Kompromittierungsprüfung: Untersuchen Sie Access-Logs und API-Zugriffsaufzeichnungen auf ungewöhnliche Anfragen an eingeschränkte Endpunkte ohne Authentifizierungstoken. Nutzen Sie CISA-Hinweise zu Indikatoren einer Kompromittierung (IoC).
- CVE-2023-35078 prüfen: Da CVE-2023-35082 in Zusammenhang mit CVE-2023-35078 steht, stellen Sie sicher, dass auch diese Schwachstelle adressiert wurde.
- Produktabkündigung erwägen: Wenn Mitigationen nicht zeitnah verfügbar oder umsetzbar sind, erwägen Sie gemäß CISA-Empfehlung die Ausserbetriebnahme des betroffenen Produkts.
Technische Details
Betroffene Komponente: Die Schwachstelle befindet sich in der API-Schicht von Ivanti Endpoint Manager Mobile (EPMM), Version 11.10 und älter (auch bekannt als MobileIron Core). Die verwundbare Codepfade ermöglichen den Zugriff auf eingeschränkte API-Ressourcen ohne Authentifizierung.
Angriffsvektor: Der Angriff erfolgt über das Netzwerk (NETWORK), ohne dass Benutzerinteraktion (NONE) oder Privilegien (NONE) benötigt werden. Die Angriffskomplexität ist NIEDRIG. Dies ermöglicht vollautomatisierte Angriffe über einfache HTTP-Anfragen.
CVSS:3.1-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — Score 9.8 (KRITISCH)
Abgrenzung zu CVE-2023-35078: Beide Schwachstellen betreffen die EPMM-Authentifizierungsschicht, sind jedoch unterschiedliche Schwachstellen mit unterschiedlichen Angriffspfaden. CVE-2023-35082 ist explizit als einzigartig gegenüber CVE-2023-35078 deklariert.
EPSS-Einschätzung: Mit einem EPSS-Score von 0.944 und dem 99.98. Perzentile liegt diese Schwachstelle im obersten Risikosegment aller bekannten CVEs, was die hohe Wahrscheinlichkeit aktiver Ausnutzungsversuche widerspiegelt.
Häufig gestellte Fragen
Wird CVE-2023-35082 aktiv ausgenutzt?
Ja. CVE-2023-35082 ist im CISA KEV-Katalog (Known Exploited Vulnerabilities) gelistet und wird aktiv in freier Wildbahn ausgenutzt. Es besteht zudem eine dokumentierte Verbindung zu Ransomware-Kampagnen. Der EPSS-Score von 0.944 (99.98. Perzentile) bestätigt die extrem hohe Ausnutzungswahrscheinlichkeit. Betroffene Systeme sollten unverzüglich gepatcht oder offline genommen werden.
Welche Produkte sind von CVE-2023-35082 betroffen?
Betroffen ist Ivanti Endpoint Manager Mobile (EPMM), früher bekannt als MobileIron Core, in Versionen 11.10 und älter. Laut CISA KEV-Katalog sind sowohl EPMM als auch MobileIron Core betroffen. Organisationen, die neuere Versionen des Produkts einsetzen, sollten dennoch prüfen, ob anwendbare Patches installiert sind.
Wie behebe ich CVE-2023-35082?
Ivanti stellt Sicherheitspatches sowie Mitigationsanleitungen bereit. Aktualisieren Sie EPMM auf eine gepatchte Version gemäß dem Ivanti-Sicherheitshinweis. Schränken Sie den Netzwerkzugriff auf das Management-Interface ein und prüfen Sie Ihre Logs auf Anzeichen einer Kompromittierung. Falls Patches nicht unmittelbar verfügbar sind, empfiehlt CISA die Außerbetriebnahme des Produkts.
Wie schwerwiegend ist CVE-2023-35082?
Mit einem CVSS-Score von 9.8 ist CVE-2023-35082 als KRITISCH eingestuft. Alle drei Schutzziele — Vertraulichkeit, Integrität und Verfügbarkeit — sind als HOCH bewertet. Die Schwachstelle erfordert keine Authentifizierung, keine Benutzerinteraktion und kann über das Internet ausgenutzt werden. In Kombination mit aktiver Ausnutzung und Ransomware-Bezug ist dies eine der dringlichsten Schwachstellen für betroffene EPMM-Installationen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.