CVE-2023-46805
Ivanti Connect Secure and Policy Secure Authentication Bypass Vulnerability
Beschreibung
CVE-2023-46805 ist eine hochkritische Authentifizierungsumgehungs-Schwachstelle in der Webkomponente von Ivanti Connect Secure (ICS) 9.x und 22.x sowie Ivanti Policy Secure. Ein nicht authentifizierter Angreifer kann durch Umgehung von Zugriffskontrollprüfungen auf eingeschränkte Ressourcen zugreifen. Die Schwachstelle ist im CISA KEV-Katalog gelistet und wird aktiv in Ransomware-Kampagnen ausgenutzt. CVE-2023-46805 wird häufig in Kombination mit CVE-2024-21887 (Command Injection) eingesetzt, um vollständigen unautorisierten Remotezugriff zu erlangen. Betroffene Organisationen sollten sofort die Herstellerempfehlungen von Ivanti umsetzen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ivanti | connect secure | 9.0; 9.1; 22.1; 22.2; 22.3; 22.4; 22.5; 22.6 |
| ivanti | policy secure | 9.0; 9.1; 22.1; 22.2; 22.3; 22.4; 22.5; 22.6 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
Referenzen
- http://packetstormsecurity.com/files/176668/Ivanti-Connect-Secure-Unauthenticated-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-46805(US Government Resource)
Schwachstellentyp
CWE-287: Improper Authentication
CVE-2023-46805 basiert auf CWE-287 (Improper Authentication). Diese Schwachstellenklasse beschreibt Fälle, in denen ein System keine ausreichende Authentifizierung durchführt, wenn die Identität eines Nutzers verifiziert werden soll.
Im konkreten Fall enthält die Webkomponente von Ivanti Connect Secure und Policy Secure eine fehlerhafte Zugriffssteuerung, die es einem Angreifer erlaubt, Authentifizierungsprüfungen zu umgehen und auf eigentlich geschützte API-Endpunkte zuzugreifen. Der Angreifer kann durch speziell konstruierte HTTP-Anfragen Zugriffskontrollen überwinden, ohne gültige Anmeldedaten zu besitzen.
Auswirkungsanalyse
Vertraulichkeit: Der Einfluss auf die Vertraulichkeit ist hoch. Ein Angreifer kann auf eingeschränkte Ressourcen zugreifen, vertrauliche Konfigurationsdaten, Anmeldedaten und interne Netzwerkinformationen auslesen.
Integrität: Der direkte Einfluss auf die Integrität ist gering (Low). Die Schwachstelle allein erlaubt keinen direkten Schreibzugriff, ermöglicht jedoch in Kombination mit CVE-2024-21887 schwerwiegende Integritätsverletzungen.
Verfügbarkeit: Keine direkte Auswirkung auf die Verfügbarkeit durch CVE-2023-46805 allein.
Scope: Die Auswirkungen bleiben im Scope Unchanged, können jedoch durch die Kombination mit Command Injection (CVE-2024-21887) erheblich ausgeweitet werden, da Angreifer dann vollständige Kontrolle über das VPN-Gateway erlangen und lateral ins interne Netzwerk vordringen können.
Exploit-Reifegrad
Exploit-Status: CVE-2023-46805 wird aktiv in der Praxis ausgenutzt und ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet. Der EPSS-Score beträgt 0.9437 (99,96. Perzentile), was eine extrem hohe reale Ausnutzungswahrscheinlichkeit belegt.
Ransomware-Bezug: Laut CISA-KEV ist ein bekannter Zusammenhang mit Ransomware-Kampagnen dokumentiert. Die Schwachstelle wird regelmäßig in Verbindung mit CVE-2024-21887 in mehrstufigen Angriffsketten eingesetzt.
Angriffskomplexität: Der Angriff erfordert keine Authentifizierung, keine Benutzerinteraktion und ist direkt über das Netzwerk ausführbar. Öffentliche Exploit-Code-Beispiele existieren, unter anderem auf Packet Storm Security.
KEV-Frist: Die CISA-Behebungsfrist war der 22. Januar 2024.
Behebung
- Ivanti-Patches anwenden: Wenden Sie umgehend die von Ivanti bereitgestellten Sicherheitsupdates für Connect Secure und Policy Secure an. Folgen Sie den Anweisungen im offiziellen Ivanti-Sicherheitshinweis.
- Workarounds implementieren: Falls Patches nicht sofort angewendet werden können, implementieren Sie die von Ivanti empfohlenen Workarounds zur Minderung des Risikos.
- VPN-Gateway isolieren: Schränken Sie den Zugang zum Ivanti-Gateway auf vertrauenswürdige IP-Adressen ein und deaktivieren Sie nicht benötigte Webkomponenten.
- Anzeichen der Kompromittierung prüfen: Überprüfen Sie Protokolle auf verdächtige Aktivitäten und führen Sie eine forensische Analyse durch, um eine mögliche Kompromittierung auszuschließen.
- CVE-2024-21887 parallel adressieren: Da beide Schwachstellen häufig zusammen eingesetzt werden, beheben Sie gleichzeitig die Command-Injection-Schwachstelle CVE-2024-21887.
- Netzwerksegmentierung stärken: Isolieren Sie das VPN-Gateway im Netzwerk und beschränken Sie den Zugang zu internen Ressourcen über das Gateway auf das absolut Notwendige.
Technische Details
Angriffsvektor: Netzwerk (keine physische Nähe erforderlich)
Angriffskomplexität: Niedrig
Erforderliche Rechte: Keine
Benutzerinteraktion: Keine
Technischer Ablauf: Die Schwachstelle befindet sich in der Webkomponente von Ivanti ICS und Policy Secure. Durch fehlerhafte Implementierung der Zugriffskontrolle können HTTP-Anfragen mit speziell gestalteten Pfaden oder Headern Authentifizierungsprüfungen umgehen. Angreifer erhalten dadurch Zugang zu internen API-Endpunkten, auf die nur authentifizierte Administratoren zugreifen sollten.
Angriffskombination: In der Praxis wird CVE-2023-46805 typischerweise als erster Schritt genutzt, um authentifizierten Zugang zu erlangen, gefolgt von CVE-2024-21887 (Command Injection) für Remote Code Execution. Dies ermöglicht vollständige Kompromittierung des betroffenen Systems.
Betroffene Produkte: Ivanti Connect Secure (ICS) 9.x, 22.x; Ivanti Policy Secure
CVSS:3.1-Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
Häufig gestellte Fragen
Wird CVE-2023-46805 aktiv ausgenutzt?
Ja, CVE-2023-46805 wird aktiv in der Praxis ausgenutzt. Die Schwachstelle ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet und steht in Verbindung mit Ransomware-Kampagnen. Der EPSS-Score von 0.9437 (99,96. Perzentile) belegt eine extrem hohe reale Ausnutzungswahrscheinlichkeit. Die Schwachstelle wird häufig in Kombination mit CVE-2024-21887 eingesetzt.
Welche Produkte sind von CVE-2023-46805 betroffen?
Von CVE-2023-46805 sind Ivanti Connect Secure (ICS) in den Versionen 9.x und 22.x sowie Ivanti Policy Secure betroffen. Details zu spezifisch betroffenen Versionen und verfügbaren Patches sind im offiziellen Ivanti-Sicherheitshinweis dokumentiert.
Wie behebe ich CVE-2023-46805?
Wenden Sie die von Ivanti bereitgestellten Sicherheitspatches so schnell wie möglich an. Falls Patches nicht sofort verfügbar sind, implementieren Sie die empfohlenen Workarounds von Ivanti. Überprüfen Sie außerdem, ob Ihr System bereits kompromittiert wurde, und beheben Sie gleichzeitig die verwandte Schwachstelle CVE-2024-21887.
Wie schwerwiegend ist CVE-2023-46805?
CVE-2023-46805 ist mit einem CVSS-Score von 8.2 als HOCH eingestuft. Besonders kritisch ist die Schwachstelle durch ihre aktive Ausnutzung und den Einsatz in Ransomware-Kampagnen sowie die Kombination mit CVE-2024-21887, die gemeinsam vollständigen Remote-Systemzugriff ohne Authentifizierung ermöglichen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.