CVE-2024-9380
Ivanti Cloud Services Appliance (CSA) OS Command Injection Vulnerability
Beschreibung
CVE-2024-9380 ist eine schwerwiegende OS Command Injection Schwachstelle in der Admin-Webkonsole der Ivanti Cloud Services Appliance (CSA) vor Version 5.0.2. Ein authentifizierter Angreifer mit Administratorrechten kann die Schwachstelle ausnutzen, um beliebige Betriebssystem-Befehle auszuführen und damit Remote Code Execution zu erlangen. Mit einem CVSS-Score von 7.2 (Hoch), einem EPSS-Wert von 88,1 % (99,5. Perzentil) und der Aufnahme in den CISA KEV-Katalog stellt diese Schwachstelle eine ernsthafte Bedrohung dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ivanti | endpoint manager cloud services appliance | < 5.0.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Referenzen
Schwachstellentyp
OS Command Injection
Die Schwachstelle ist eine OS Command Injection, bei der Benutzereingaben in der Admin-Webkonsole nicht ausreichend bereinigt werden und so in Betriebssystem-Befehle eingeschleust werden können. Ein Angreifer kann dadurch beliebige Befehle auf dem zugrunde liegenden Betriebssystem ausführen. Diese Schwachstellenklasse wird unter CWE-78: Improper Neutralization of Special Elements used in an OS Command klassifiziert. Mehr erfahren: CWE-78 bei turingpoint
Auswirkungsanalyse
Die Auswirkungen von CVE-2024-9380 sind auf allen drei Sicherheitsebenen als hoch einzustufen. Vertraulichkeit: Nach erfolgreicher Command Injection kann der Angreifer auf alle auf der CSA-Appliance gespeicherten Daten zugreifen, einschließlich Konfigurationsdaten, Zertifikate und Zugangsdaten zu integrierten Systemen. Die CSA dient als Gateway für Cloud-Services, was den Zugriff auf verbundene Ressourcen ermöglichen kann. Integrität: Beliebige Betriebssystem-Befehle ermöglichen das Manipulieren von Konfigurationen, das Einschleusen von Backdoors und die Veränderung von Systemdateien. Verfügbarkeit: Die Appliance kann destabilisiert oder vollständig außer Betrieb gesetzt werden. Der EPSS-Score von 88,1 % im 99,5. Perzentil zeigt eine sehr hohe Ausnutzungswahrscheinlichkeit. Die Verbindung zu Ransomware wird derzeit als unbekannt eingestuft. Obwohl Administratorrechte erforderlich sind, wird diese Schwachstelle häufig in Kombination mit anderen Ivanti-Schwachstellen (wie CVE-2024-9379 und CVE-2024-9381) ausgenutzt.
Exploit-Reifegrad
CVE-2024-9380 wird aktiv ausgenutzt und wurde in den CISA Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 30. Oktober 2024. Der EPSS-Score von 88,1 % im 99,5. Perzentil unterstreicht die sehr hohe Ausnutzungswahrscheinlichkeit. Ivanti hat die aktive Ausnutzung in seinem Security Advisory bestätigt. Die Schwachstelle wird häufig in Kombination mit anderen CSA-Schwachstellen ausgenutzt, was die Gesamtbedrohung erhöht. Der Zusammenhang mit Ransomware wird derzeit als unbekannt eingestuft.
Behebung
- Ivanti CSA auf Version 5.0.2 oder neuer aktualisieren: Installieren Sie umgehend das Update gemäß dem Ivanti Security Advisory.
- Admin-Zugriff einschränken: Beschränken Sie den Zugriff auf die Admin-Webkonsole der CSA auf autorisierte Administratoren über dedizierte Management-Netzwerke. Deaktivieren Sie den Zugang aus dem Internet.
- Kompromittierungsindikatoren prüfen: Untersuchen Sie die CSA-Logs auf verdächtige Aktivitäten, insbesondere ungewöhnliche Befehle oder Prozessstarts, die auf eine Command Injection hindeuten.
- Zugehörige Schwachstellen ebenfalls beheben: Stellen Sie sicher, dass auch CVE-2024-9379 (SQL Injection) und CVE-2024-9381 gleichzeitig gepatcht werden, da diese Schwachstellen häufig gemeinsam ausgenutzt werden.
- Netzwerksegmentierung implementieren: Isolieren Sie die CSA-Appliance in einem dedizierten Management-Segment und beschränken Sie die ausgehenden Netzwerkverbindungen auf das notwendige Minimum.
Technische Details
Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H ergibt einen Score von 7.2 (Hoch). Angriffsvektor (AV:N): Die Schwachstelle ist über das Netzwerk ausnutzbar. Angriffskomplexität (AC:L): Die Ausnutzung erfordert keine besonderen Bedingungen. Erforderliche Berechtigungen (PR:H): Es sind hohe Berechtigungen (Administrator-Level) erforderlich, was die Ausnutzbarkeit einschränkt. Benutzerinteraktion (UI:N): Keine Benutzerinteraktion erforderlich. Scope (S:U): Die Auswirkungen bleiben im Sicherheitskontext der betroffenen Komponente. Auswirkungen: Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils maximal betroffen (C:H/I:H/A:H). Der Angriffsmechanismus basiert auf einer unzureichenden Eingabevalidierung in der Admin-Webkonsole. Benutzereingaben werden ohne ausreichende Bereinigung in Betriebssystem-Befehle eingefügt. Ein authentifizierter Administrator kann durch das Einschleusen von Metazeichen (wie Semikolons, Pipes oder Backticks) zusätzliche Befehle in die Befehlskette einfügen, die dann mit den Rechten des CSA-Dienstprozesses ausgeführt werden.
Häufig gestellte Fragen
Was ist CVE-2024-9380?
CVE-2024-9380 ist eine OS Command Injection Schwachstelle in der Admin-Webkonsole der Ivanti Cloud Services Appliance (CSA). Ein authentifizierter Administrator kann beliebige Betriebssystem-Befehle ausführen. Der CVSS-Score beträgt 7.2 (Hoch).
Welche CSA-Versionen sind betroffen?
Betroffen sind alle Versionen der Ivanti CSA (Cloud Services Appliance) bzw. des Ivanti Endpoint Manager Cloud Services Appliance vor Version 5.0.2. Das Update auf Version 5.0.2 behebt die Schwachstelle.
Muss ein Angreifer Administrator sein, um die Schwachstelle auszunutzen?
Ja, der Angreifer benötigt Administratorrechte in der CSA-Webkonsole. Dies reduziert die Angriffsfläche, jedoch werden kompromittierte Admin-Konten oder die Kombination mit anderen Schwachstellen wie CVE-2024-9379 (SQL Injection) häufig als Einstiegspunkt genutzt.
Gibt es weitere Ivanti-CSA-Schwachstellen, die zusammen gepatcht werden sollten?
Ja, CVE-2024-9380 wird häufig zusammen mit CVE-2024-9379 (SQL Injection) und CVE-2024-9381 ausgenutzt. Alle drei Schwachstellen werden durch das Update auf CSA 5.0.2 behoben und sollten gemeinsam gepatcht werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.