CVE-2024-13161
Ivanti Endpoint Manager (EPM) Absolute Path Traversal Vulnerability
Beschreibung
CVE-2024-13161 ist eine Absolute Path Traversal-Schwachstelle in Ivanti Endpoint Manager (EPM), einer weit verbreiteten Enterprise-Loesung fuer das Geraetemanagement. Ein nicht authentifizierter Angreifer kann ueber das Netzwerk auf beliebige Dateien des Servers zugreifen und vertrauliche Informationen wie Zugangsdaten extrahieren. Die Schwachstelle wird mit einem CVSS v3.1-Score von 9.8 (KRITISCH) bewertet.
Die CISA hat CVE-2024-13161 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 31. Maerz 2025. Der ausserordentlich hohe EPSS-Score von 91,64 % (100. Perzentil) platziert diese Schwachstelle unter den am staerksten ausgenutzten weltweit. Ivanti EPM verwaltet typischerweise tausende Endgeraete, was eine Kompromittierung besonders weitreichende Folgen hat.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ivanti | endpoint manager | < 2022; 2022; 2024 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- https://forums.ivanti.com/s/article/Security-Advisory-EPM-January-2025-for-EPM-2024-and-EPM-2022-SU6(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-13161(US Government Resource)
- https://www.horizon3.ai/attack-research/attack-blogs/ivanti-endpoint-manager-multiple-credential-coercion-vulnerabilities/(Exploit, Third Party Advisory)
Schwachstellentyp
CWE-36: Absolute Path Traversal
CVE-2024-13161 basiert auf CWE-36 (Absolute Path Traversal), einer Schwachstellenklasse, bei der eine Anwendung absolute Pfadangaben in Benutzereingaben akzeptiert und ohne ausreichende Validierung fuer Dateizugriffe verwendet. Im Fall von Ivanti EPM ermoeglicht die fehlerhafte Pfadverarbeitung einem nicht authentifizierten Angreifer den Zugriff auf beliebige Dateien des Servers, einschliesslich Konfigurationsdateien mit Klartext-Zugangsdaten.
Weitere Informationen: CWE-36 -- Absolute Path Traversal
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-13161 sind aufgrund der kritischen Rolle von Ivanti EPM in Unternehmensumgebungen ausserordentlich schwerwiegend. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) zeigt, dass die Schwachstelle aus dem Netzwerk ohne jegliche Authentifizierung oder Benutzerinteraktion ausgenutzt werden kann, bei niedriger Angriffskomplexitaet. Alle drei Auswirkungsmetriken -- Vertraulichkeit, Integritaet und Verfuegbarkeit -- sind als hoch eingestuft. Ein Angreifer kann ueber die Path Traversal-Schwachstelle Zugangsdaten aus der EPM-Konfiguration extrahieren, die anschliessend fuer die vollstaendige Kompromittierung des Managementservers und aller verwalteten Endgeraete genutzt werden koennen. Der EPSS-Score von 91,64 % (100. Perzentil) zeigt, dass diese Schwachstelle zu den am intensivsten angegriffenen weltweit gehoert. Die zentrale Position von EPM in der IT-Infrastruktur macht eine Kompromittierung zu einem katastrophalen Sicherheitsvorfall.
Exploit-Reifegrad
CVE-2024-13161 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die Schwachstelle als aktiv ausgenutzt in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 31. Maerz 2025. Oeffentlicher Exploit-Code ist verfuegbar ueber Horizon3.ai, die die Schwachstelle im Rahmen einer umfassenderen Analyse mehrerer Ivanti EPM-Credential-Coercion-Schwachstellen dokumentiert haben. Der EPSS-Score von 91,64 % (100. Perzentil) ist ausserordentlich hoch und bestaetigt die weitverbreitete Ausnutzung. CVE-2024-13161 ist Teil einer Gruppe von drei zusammenhaengenden Ivanti EPM-Schwachstellen (zusammen mit CVE-2024-13160 und CVE-2024-13159), die gemeinsam ausgenutzt werden koennen. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
Ivanti EPM Security Update installieren: Wenden Sie umgehend das January-2025 Security Update fuer EPM 2024 oder EPM 2022 SU6 an. Die Updates sind ueber das Ivanti Security Advisory verfuegbar.
-
Netzwerkzugriff beschraenken: Isolieren Sie den Ivanti EPM-Server in einem dedizierten Management-Netzwerksegment. Beschraenken Sie den Zugriff auf die EPM-Weboberflaeche auf autorisierte Administratoren ueber Firewall-Regeln und Netzwerksegmentierung.
-
Zugangsdaten rotieren: Da die Schwachstelle den Zugriff auf gespeicherte Zugangsdaten ermoeglicht, sollten nach dem Patchen saemtliche in Ivanti EPM konfigurierten Zugangsdaten (Service-Accounts, Datenbank-Credentials, Domain-Konten) geaendert werden.
-
Forensische Analyse durchfuehren: Aufgrund der aktiven Ausnutzung sollten alle Ivanti EPM-Instanzen auf Anzeichen einer Kompromittierung untersucht werden. Pruefen Sie Server-Logs auf verdaechtige Path Traversal-Muster und nicht autorisierte Dateizugriffe.
-
Verwandte Schwachstellen gemeinsam beheben: CVE-2024-13161 ist Teil einer Gruppe von drei Schwachstellen (CVE-2024-13160, CVE-2024-13159). Stellen Sie sicher, dass alle drei Patches gleichzeitig angewendet werden, da sie denselben Angriffsvektor teilen.
Technische Details
CVE-2024-13161 betrifft Ivanti Endpoint Manager in den Versionen vor dem January-2025 Security Update (EPM 2024 und EPM 2022 SU6). Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt eine aus dem Netzwerk erreichbare Schwachstelle ohne jegliche Authentifizierungsanforderung und mit niedriger Angriffskomplexitaet. Die Schwachstelle ermoeglicht Absolute Path Traversal, bei dem ein Angreifer vollstaendige Dateipfade angeben kann, um auf beliebige Dateien des Servers zuzugreifen.
Die Schwachstelle wurde von Horizon3.ai als Teil einer umfassenderen Analyse von Credential-Coercion-Schwachstellen in Ivanti EPM identifiziert. Der Angriff nutzt die fehlerhafte Pfadvalidierung in bestimmten API-Endpunkten, um Dateien zu lesen, die ausserhalb des vorgesehenen Verzeichnisses liegen. Besonders kritisch ist der Zugriff auf PhysicalDiscovery-Konfigurationsdateien, die Klartext-Zugangsdaten enthalten koennen und eine weitergehende Kompromittierung des gesamten verwalteten Geraeteparks ermoeglichen. Alle drei Auswirkungsmetriken sind auf High gesetzt, was die Schwere der Schwachstelle widerspiegelt.
Häufig gestellte Fragen
Wird CVE-2024-13161 aktiv ausgenutzt?
Ja, die CISA hat CVE-2024-13161 in den KEV-Katalog aufgenommen und damit die aktive Ausnutzung bestaetigt. Der EPSS-Score von 91,64 % platziert die Schwachstelle im 100. Perzentil, was eine ausserordentlich hohe Ausnutzungswahrscheinlichkeit anzeigt.
Welche Produkte sind von CVE-2024-13161 betroffen?
Betroffen ist Ivanti Endpoint Manager (EPM) in den Versionen vor dem January-2025 Security Update. Dies umfasst sowohl EPM 2024 als auch EPM 2022 SU6. Das Security Update behebt die Schwachstelle in beiden Versionslinien.
Wie kann ich CVE-2024-13161 beheben?
Installieren Sie das Ivanti EPM January-2025 Security Update. Rotieren Sie anschliessend alle in EPM gespeicherten Zugangsdaten und fuehren Sie eine forensische Analyse durch, um eine moeglicherweise bereits erfolgte Kompromittierung zu erkennen.
Wie schwerwiegend ist CVE-2024-13161?
Mit einem CVSS-Score von 9.8 (CRITICAL) und einem EPSS-Score im 100. Perzentil ist CVE-2024-13161 eine der schwerwiegendsten Schwachstellen. Die fehlende Authentifizierungsanforderung und die zentrale Rolle von EPM im Unternehmens-IT-Management machen sie besonders gefaehrlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.