CVE-2024-7593
Ivanti Virtual Traffic Manager Authentication Bypass Vulnerability
Beschreibung
CVE-2024-7593 ist eine kritische Authentication-Bypass-Schwachstelle in Ivanti Virtual Traffic Manager (vTM), die durch eine fehlerhafte Implementierung des Authentifizierungsalgorithmus entsteht und es unauthentifizierten Angreifern ermoeglicht, die Admin-Panel-Authentifizierung zu umgehen. Die Schwachstelle erhaelt den CVSS-Score von 9.8 (CRITICAL) und betrifft vTM-Versionen 22.2 bis 22.7 (ausgenommen 22.2R1 und 22.7R2).
Die CISA hat CVE-2024-7593 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-10-15. Der EPSS-Score von 94,44 % (100,0. Perzentil) ist der hoechstmoegliche Wert und signalisiert eine nahezu sichere aktive Ausnutzung. Der Ransomware-Status ist als "Unknown" klassifiziert.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ivanti | virtual traffic manager | 22.2; 22.3; 22.5; 22.6; 22.7 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Virtual-Traffic-Manager-vTM-CVE-2024-7593(Mitigation, Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-7593(US Government Resource)
Schwachstellentyp
Authentication Bypass durch fehlerhafte Algorithmus-Implementierung
CVE-2024-7593 basiert auf einer fehlerhaften Implementierung des Authentifizierungsalgorithmus im Admin-Panel von Ivanti Virtual Traffic Manager. Der Algorithmus, der die Identitaet von Benutzern ueberpruefen soll, ist fehlerhaft implementiert, sodass ein unauthentifizierter Angreifer die Authentifizierungspruefung vollstaendig umgehen kann.
Authentication-Bypass-Schwachstellen in Load-Balancing- und Traffic-Management-Systemen sind besonders gefaehrlich, da diese Systeme den Datenverkehr fuer kritische Anwendungen und Dienste steuern und eine zentrale Position in der Netzwerkinfrastruktur einnehmen.
Weitere Informationen: CWE-303 -- Incorrect Implementation of Authentication Algorithm
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-7593 sind katastrophal, da Ivanti vTM als Application Delivery Controller und Load Balancer eine zentrale Rolle in der Netzwerkinfrastruktur spielt. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt die maximale Bedrohungsstufe. Vertraulichkeit (Hoch): Ein Angreifer mit Administrator-Zugang zum vTM kann den gesamten verwalteten Netzwerkverkehr einsehen, einschliesslich TLS-Terminierung, Backend-Server-Konfigurationen und gespeicherter Zugangsdaten. Integritaet (Hoch): Die Traffic-Management-Regeln koennen manipuliert werden, um Datenverkehr umzuleiten, SSL-Zertifikate auszutauschen oder Backend-Server zu kompromittieren. Verfuegbarkeit (Hoch): Der gesamte ueber den vTM geleitete Datenverkehr kann unterbrochen werden, was zum Ausfall aller dahinterliegenden Dienste fuehrt.
Der EPSS-Score von 94,44 % (100,0. Perzentil) ist der hoechstmoegliche Wert und zeigt, dass CVE-2024-7593 zu den am aktivsten ausgenutzten Schwachstellen ueberhaupt gehoert. Die Kompromittierung eines Load Balancers kann als Ausgangspunkt fuer Man-in-the-Middle-Angriffe auf alle dahinterliegenden Anwendungen dienen.
Exploit-Reifegrad
CVE-2024-7593 weist eine maximale Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-10-15 in den KEV-Katalog aufgenommen. Der EPSS-Score von 94,44 % (100,0. Perzentil) ist der hoechstmoegliche Wert und signalisiert die hoechste jemals beobachtete Ausnutzungswahrscheinlichkeit.
Ivanti hat ein Security Advisory mit Patches und Workarounds veroeffentlicht. Die fehlerhafte Implementierung des Authentifizierungsalgorithmus ermoeglicht einen vergleichsweise einfachen Exploit, da keine komplexen Payloads oder Timing-Angriffe erforderlich sind. Der Ransomware-Status ist als "Unknown" klassifiziert, jedoch ist der Administrator-Zugang zu einem Traffic Manager ein idealer Ausgangspunkt fuer weitreichende Netzwerkkompromittierungen.
Behebung
-
Ivanti vTM umgehend aktualisieren: Installieren Sie die gepatchten Versionen 22.2R1 oder 22.7R2. Konsultieren Sie das Ivanti Security Advisory fuer CVE-2024-7593 fuer detaillierte Patch-Anweisungen und die verfuegbaren Workarounds.
-
Admin-Panel-Zugang sofort einschraenken: Beschraenken Sie den Zugriff auf das vTM-Admin-Panel auf dedizierte Verwaltungsnetzwerke. Implementieren Sie Firewall-Regeln, die den Zugang zum Admin-Interface auf autorisierte IP-Adressen beschraenken, bis der Patch installiert ist.
-
Audit der vTM-Konfiguration durchfuehren: Ueberpruefen Sie die vTM-Konfiguration auf unautorisierte Aenderungen, insbesondere Traffic-Management-Regeln, SSL-Zertifikate, Backend-Server-Konfigurationen und Benutzerkonten. Vergleichen Sie die aktuelle Konfiguration mit einem bekannten sicheren Zustand.
-
TLS-Zertifikate rotieren: Wenn der vTM vor dem Patchen exponiert war, gehen Sie davon aus, dass die auf dem System gespeicherten TLS-Zertifikate und privaten Schluessel kompromittiert sind. Erneuern und ersetzen Sie alle betroffenen Zertifikate.
-
Netzwerkueberwachung implementieren: Richten Sie erhoehte Ueberwachung fuer den vTM-Netzwerkverkehr ein. Ueberwachen Sie insbesondere Zugriffe auf das Admin-Panel, Konfigurationsaenderungen und ungewoehnliche Traffic-Patterns, die auf eine Kompromittierung hindeuten koennten.
Technische Details
CVE-2024-7593 betrifft Ivanti Virtual Traffic Manager in den Versionen 22.2, 22.3, 22.5, 22.6 und 22.7, mit Ausnahme der Versionen 22.2R1 und 22.7R2, die den Fix enthalten. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H beschreibt die maximale Bedrohungsstufe. Angriffsvektor (Netzwerk): Der Angriff erfolgt remote ueber das Netzwerk zum Admin-Panel des vTM. Angriffskomplexitaet (Niedrig): Keine speziellen Bedingungen erforderlich. Berechtigungen (Keine): Keinerlei Authentifizierung notwendig. Benutzerinteraktion (Keine): Vollstaendig automatisierbarer Angriff.
Der Angriffsmechanismus basiert auf einer fehlerhaften Implementierung des Authentifizierungsalgorithmus im Admin-Panel. Die Authentifizierungspruefung kann durch speziell konstruierte Anfragen umgangen werden, ohne dass gueltige Zugangsdaten benoetigt werden. Dies ermoeglicht einem unauthentifizierten Angreifer den vollstaendigen Administrator-Zugang zum Virtual Traffic Manager, einschliesslich der Kontrolle ueber alle Traffic-Management-Regeln, SSL-Zertifikate und Backend-Konfigurationen.
Häufig gestellte Fragen
Was ist Ivanti Virtual Traffic Manager und warum ist die Schwachstelle so kritisch?
Ivanti Virtual Traffic Manager (vTM) ist ein Application Delivery Controller und Load Balancer, der den Netzwerkverkehr fuer kritische Anwendungen und Dienste steuert. Die Schwachstelle ist so kritisch, weil ein Angreifer mit Admin-Zugang den gesamten Datenverkehr kontrollieren, umleiten oder mitlesen kann. Dies betrifft potenziell alle Anwendungen, die hinter dem vTM betrieben werden.
Welche vTM-Versionen sind sicher?
Sichere Versionen sind 22.2R1 und 22.7R2, die den Authentifizierungsalgorithmus korrekt implementieren. Alle anderen Versionen der Reihe 22.2 bis 22.7 sind betroffen und muessen aktualisiert werden. Aeltere Versionen vor 22.2 koennten ebenfalls betroffen sein und sollten in jedem Fall auf eine gepatchte Version aktualisiert werden.
Kann ein Angreifer ueber den vTM TLS-verschluesselten Verkehr mitlesen?
Ja, wenn der vTM fuer TLS-Terminierung konfiguriert ist, hat ein Angreifer mit Admin-Zugang Zugriff auf die privaten Schluessel und kann den gesamten TLS-verschluesselten Verkehr entschluesseln. Zudem kann er eigene Zertifikate installieren und so Man-in-the-Middle-Angriffe durchfuehren.
Warum hat CVE-2024-7593 den hoechsten EPSS-Score?
Der EPSS-Score von 94,44 % (100,0. Perzentil) resultiert aus der Kombination mehrerer Faktoren: Die Schwachstelle erfordert keine Authentifizierung, ist ueber das Netzwerk erreichbar, hat niedrige Angriffskomplexitaet und betrifft ein Produkt, das in kritischen Netzwerkinfrastrukturen eingesetzt wird. Dies macht sie fuer Angreifer besonders attraktiv und leicht auszunutzen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.