CVE-2024-21893
Ivanti Connect Secure, Policy Secure, and Neurons Server-Side Request Forgery (SSRF) Vulnerability
Beschreibung
CVE-2024-21893 ist eine Server-Side Request Forgery (SSRF)-Schwachstelle in der SAML-Komponente von Ivanti Connect Secure (Versionen 9.x, 22.x), Ivanti Policy Secure (9.x, 22.x) und Ivanti Neurons for ZTA. Ein nicht authentifizierter Angreifer kann durch diese Sicherheitslücke auf bestimmte eingeschränkte Ressourcen ohne vorherige Authentifizierung zugreifen. Die Schwachstelle ist im CISA KEV-Katalog gelistet und mit Ransomware-Aktivität in Verbindung gebracht worden. Mit einem CVSS-Score von 8,2 (HIGH) und einem EPSS-Score von 94,32 % besteht ein extrem hohes Ausnutzungsrisiko, das sofortiges Handeln erfordert.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ivanti | connect secure | 9.0; 9.1; 21.9; 21.12; 22.1; 22.2; 22.3; 22.4; 22.6 |
| ivanti | policy secure | 9.0; 9.1; 22.1; 22.2; 22.3; 22.4; 22.5; 22.6 |
| ivanti | neurons for zero-trust access | -; 22.2; 22.3; 22.4; 22.5; 22.6 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
Referenzen
Schwachstellentyp
CWE-918: Server-Side Request Forgery (SSRF)
CVE-2024-21893 basiert auf CWE-918: Server-Side Request Forgery (SSRF). Bei einer SSRF-Schwachstelle wird der Server dazu verleitet, Anfragen im Namen des Angreifers an interne oder externe Ressourcen zu senden, auf die dieser normalerweise keinen Zugriff hätte.
Im Fall von CVE-2024-21893 befindet sich die SSRF-Schwachstelle in der SAML-Implementierung der betroffenen Ivanti-Produkte. Ein Angreifer kann speziell gestaltete SAML-Anfragen senden, um den Server zur Weiterleitung von Anfragen an interne Ressourcen zu veranlassen und so Authentifizierungskontrollen zu umgehen. Dies ist besonders kritisch, da SAML für Single-Sign-On (SSO) und Authentifizierungsprozesse eingesetzt wird – eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung des Authentifizierungssystems führen.
Auswirkungsanalyse
Vertraulichkeit (Hoch): Durch CVE-2024-21893 kann ein nicht authentifizierter Angreifer auf geschützte interne Ressourcen zugreifen, die normalerweise nur nach erfolgreicher Authentifizierung erreichbar sind. Dies umfasst potenziell sensitive Konfigurations- und Zugangsdaten sowie interne Netzwerkinformationen.
Integrität (Niedrig): Die SSRF-Schwachstelle ermöglicht begrenzte Schreiboperationen auf interne Ressourcen. Da der Angriff durch die Serverkomponente vermittelt wird, ist die direkte Manipulation von Daten eingeschränkt, jedoch nicht auszuschließen.
Verfügbarkeit (Keine): Die Schwachstelle hat keine direkte Auswirkung auf die Verfügbarkeit der betroffenen Systeme.
Die besondere Gefährdungslage ergibt sich aus der Kombination: Ivanti Connect Secure und Policy Secure sind VPN- und Zugriffskontrolllösungen, die als Zugangstor zu Unternehmensnetzwerken eingesetzt werden. Ein erfolgreicher Angriff auf die SAML-Komponente kann zur vollständigen Kompromittierung von Unternehmensidentitäten und -zugängen führen. Die Assoziation mit Ransomware-Aktivität (KEV-Eintrag: true) unterstreicht das reale Bedrohungsniveau.
Exploit-Reifegrad
CVE-2024-21893 weist eine außerordentlich hohe Ausnutzungswahrscheinlichkeit auf. Der EPSS-Score von 94,32 % (Perzentile: 99,95 %) zeigt an, dass diese Schwachstelle mit hoher Wahrscheinlichkeit innerhalb der nächsten 30 Tage ausgenutzt wird – eine der höchsten Risikoeinstufungen im EPSS-Modell. Die Schwachstelle ist im CISA KEV-Katalog gelistet und ausdrücklich mit Ransomware-Aktivität in Verbindung gebracht worden, mit einer Behebungsfrist bis zum 2. Februar 2024.
Die Schwachstelle erfordert keinerlei Authentifizierung (Privileges Required: None, User Interaction: None) und ist über das Netzwerk remote ausnutzbar (Attack Vector: Network, Attack Complexity: Low). Dies macht CVE-2024-21893 zu einem besonders gefährlichen Angriffsziel für automatisierte Scans und opportunistische Angreifer. Sofortiges Patchen oder Abschalten nicht aktualisierbarer Systeme ist zwingend erforderlich.
Behebung
- Ivanti-Patches einspielen: Sofortiges Update von Ivanti Connect Secure und Policy Secure auf die neueste verfügbare Version gemäß dem Ivanti Security Advisory.
- Ivanti Neurons for ZTA aktualisieren: Auch Ivanti Neurons for Zero-Trust Access (ZTA) auf eine gepatchte Version aktualisieren.
- Herstellerhinweise befolgen: Das offizielle Ivanti Forum Advisory konsultieren und alle empfohlenen Mitigationsschritte umsetzen.
- Nicht aktualisierbare Systeme abschalten: Wenn Patches nicht sofort angewendet werden können, betroffene Systeme gemäß CISA-Empfehlung außer Betrieb nehmen oder vom Netz isolieren.
- Logs auf Anzeichen einer Kompromittierung prüfen: SAML-Authentifizierungslogs auf anomale Anfragen oder ungewöhnliche Zugriffsmuster untersuchen, die auf eine vorherige Ausnutzung hindeuten.
- Zugangsdaten rotieren: Nach Bestätigung einer möglichen Kompromittierung alle Zugangsdaten für betroffene VPN- und Zugriffssysteme zurücksetzen.
- Netzwerksegmentierung prüfen: Zugriff auf Ivanti-Produkte auf autorisierte Netzwerksegmente beschränken, um die Angriffsfläche zu minimieren.
Technische Details
Technischer Hintergrund: CVE-2024-21893 ist eine Server-Side Request Forgery (SSRF)-Schwachstelle in der SAML-Komponente von Ivanti Connect Secure, Policy Secure und Neurons for ZTA. SAML (Security Assertion Markup Language) ist ein XML-basiertes Framework für den Austausch von Authentifizierungs- und Autorisierungsdaten zwischen Identitätsanbietern und Diensteanbietern.
Ausnutzungsmechanismus: Die SSRF-Schwachstelle (CWE-918) entsteht durch unzureichende Validierung von SAML-Anfragen. Ein Angreifer kann speziell präparierte SAML-Anfragen senden, die den Server dazu bringen, Anfragen an interne Ressourcen weiterzuleiten, die normalerweise nicht von außen erreichbar sind. Da keine Authentifizierung erforderlich ist, kann der Angriff direkt über das Internet initiiert werden.
Angriffspfad: Mit Netzwerkzugriff auf die betroffene Ivanti-Instanz sendet ein Angreifer eine manipulierte SAML-Anfrage, die auf interne Ressourcen verweist. Der Server führt die Anfrage im Hintergrund aus und gibt die Antwort potenziell an den Angreifer zurück, was den Zugriff auf eingeschränkte Ressourcen ohne Authentifizierung ermöglicht.
Produktkontext: Ivanti Connect Secure (ehemals Pulse Connect Secure) ist eine weit verbreitete SSL-VPN-Lösung, die in Unternehmensumgebungen als zentraler Zugangspunkt eingesetzt wird, was diese Schwachstelle zu einem hochwertigen Angriffsziel macht.
Häufig gestellte Fragen
Wird CVE-2024-21893 aktiv ausgenutzt?
Ja, CVE-2024-21893 wird aktiv ausgenutzt. Die Schwachstelle ist im CISA KEV-Katalog gelistet und explizit mit Ransomware-Aktivität in Verbindung gebracht worden. Der EPSS-Score von 94,32 % (Perzentile: 99,95 %) bestätigt eine extrem hohe Ausnutzungswahrscheinlichkeit; die Behebungsfrist im KEV-Katalog war der 2. Februar 2024.
Welche Produkte sind von CVE-2024-21893 betroffen?
Betroffen sind Ivanti Connect Secure (Versionen 9.x und 22.x), Ivanti Policy Secure (Versionen 9.x und 22.x) sowie Ivanti Neurons for Zero-Trust Access (ZTA). Alle diese Produkte nutzen die verwundbare SAML-Komponente. Ivanti hat Patches für die betroffenen Versionen bereitgestellt.
Wie behebe ich CVE-2024-21893?
Die Behebung erfordert das sofortige Einspielen der von Ivanti bereitgestellten Patches auf alle betroffenen Systeme. Wenn Patches nicht sofort verfügbar oder anwendbar sind, empfiehlt CISA, betroffene Produkte außer Betrieb zu nehmen. Weitere Details sind im Abschnitt Behebungsmaßnahmen dieser Seite beschrieben.
Wie schwerwiegend ist CVE-2024-21893?
CVE-2024-21893 wird mit einem CVSS-Score von 8,2 (HIGH) bewertet. Die Schwachstelle ist ohne Authentifizierung über das Netzwerk ausnutzbar, was sie besonders gefährlich macht. Der EPSS-Score von 94,32 % (Perzentile: 99,95 %) und die Verbindung mit Ransomware-Aktivität unterstreichen das kritische Bedrohungsniveau.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.