CVE-2025-32975
Quest KACE Systems Management Appliance (SMA) Improper Authentication Vulnerability
Beschreibung
CVE-2025-32975 ist eine kritische Schwachstelle durch fehlerhafte Authentifizierung (Improper Authentication) in Quest KACE Systems Management Appliance (SMA), einer weit verbreiteten Enterprise-Endpunktverwaltungs- und Software-Deployment-Plattform, die IT-Teams zur Verwaltung, Patchung und Provisionierung von Geräten im großen Maßstab nutzen. Die Schwachstelle ermöglicht es nicht authentifizierten Remote-Angreifern, legitime Benutzer ohne Vorlage gültiger Zugangsdaten zu impersonieren und so die gesamte Authentifizierungsschicht des KACE SMA Web-Interfaces zu umgehen. In Unternehmensumgebungen hat KACE SMA typischerweise administrativen Zugriff auf Tausende von Endpunkten, Software-Paket-Repositories und agentenverwalteten Geräten — ein erfolgreicher Authentifizierungs-Bypass gewährt Angreifern damit die Möglichkeit, administrative Funktionen über die gesamte verwaltete Gerätepopulation auszuführen. CISA hat CVE-2025-32975 am 2026-04-20 in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einer Behebungsfrist bis zum 2026-05-04, was eine bestätigte aktive Ausnutzung in der Praxis anzeigt. Der EPSS-Score beträgt 0,42123, was diesen CVE in das 97,5. Perzentil aller CVEs einordnet — er wird also mit signifikant höherer Rate angegriffen als 97,5 % aller bekannten Schwachstellen, was ihn zu einem Ausnutzungsziel mit extrem hoher Priorität macht. Zum Zeitpunkt der Veröffentlichung wurden keine Ransomware-Kampagnen speziell mit diesem CVE in Verbindung gebracht, obwohl der administrative Zugriff auf Endpunktverwaltungsinfrastruktur, den er ermöglicht, ein bekannter Enabler für Ransomware-Vorpositionierungsaktivitäten ist.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| quest | kace systems management appliance | >= 13.0, < 13.0.385; >= 13.1, < 13.1.81; >= 13.2, < 13.2.183; >= 14.0, < 14.0.341; >= 14.1, < 14.1.101 |
Referenzen
- https://seclists.org/fulldisclosure/2025/Jun/22(Mailing List, Third Party Advisory)
- https://seralys.com/research/CVE-2025-32975.txt(Third Party Advisory)
- https://support.quest.com/kb/4379499/quest-response-to-kace-sma-vulnerabilities-cve-2025-32975-cve-2025-32976-cve-2025-32977-cve-2025-32978(Vendor Advisory)
- http://seclists.org/fulldisclosure/2025/Jun/25(Mailing List, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-32975(US Government Resource)
Schwachstellentyp
CWE-287: Fehlerhafte Authentifizierung (Improper Authentication)
CWE-287 beschreibt eine Klasse von Schwachstellen, bei der ein System entweder versäumt zu beweisen, dass ein Benutzer tatsächlich derjenige ist, der er vorgibt zu sein, oder den Beweismechanismus so implementiert, dass er von einem Angreifer umgangen werden kann. Im Kontext von CVE-2025-32975 enthält der Authentifizierungsmechanismus von Quest KACE SMA einen Fehler, der es einem Angreifer ermöglicht, Anfragen zu gestalten, die das System als authentifiziert für die Session eines legitimen Benutzers akzeptiert, ohne dass die Zugangsdaten dieses Benutzers jemals verifiziert werden. Dies kann sich als fehlerhafte Session-Token-Validierungsroutine, ein Logikfehler im Authentifizierungszustandsautomat, eine umgehbare Cookie- oder Header-Prüfung oder ein Endpunkt manifestieren, der fälschlicherweise davon ausgeht, dass eine Authentifizierung stattgefunden hat, basierend auf dem Vorhandensein eines Benutzeridentifikator-Parameters.
Fehlerhafte Authentifizierung in Enterprise-Management-Plattformen ist besonders verheerend, weil diese Systeme als vertrauenswürdige Anker für Geräteverwaltungsoperationen konzipiert sind. Die in das Design von KACE SMA eingebaute Annahme — dass jede authentifizierte Anfrage von einem verifizierten Benutzer stammt — wird durch diese Schwachstelle verletzt und lässt das gesamte Rechte-Modell kollabieren. Ein Angreifer, der erfolgreich einen KACE-Administrator impersoniert, kann Software-Deployments ausführen, Skriptaufgaben auf verwalteten Endpunkten ausführen, Hardware- und Software-Inventardaten abrufen, im verwalteten Credential-Store von KACE gespeicherte Zugangsdaten abernten und Agent-Konfigurationen modifizieren — ohne jemals das Passwort des legitimen Benutzers zu kennen. Die Impersonation ist nicht nur Lesezugriff; sie gewährt vollständige operationale Autorität im Bereich des impersonierten Kontos.
Mehr erfahren: CWE-287 — Fehlerhafte Authentifizierung
Auswirkungsanalyse
Der Angriffsvektor ist Netzwerk (Network), was bedeutet, dass kein physischer oder lokaler Zugriff erforderlich ist — eine internetverbundene oder intern erreichbare KACE-SMA-Instanz ist ausreichend. Die Angriffskomplexität (Attack Complexity) ist Niedrig (Low), da die Schwachstelle keine besonderen Vorbedingungen, Race Conditions oder Kenntnisse nicht-öffentlicher Informationen über die Identifizierung des Ziels hinaus erfordert. Erforderliche Rechte (Privileges Required) sind Keine (None) — dies ist eine Vor-Authentifizierungs-Schwachstelle, ausnutzbar von jedem nicht authentifizierten Angreifer, der das KACE SMA Web-Interface erreichen kann. Benutzerinteraktion (User Interaction) ist Keine (None). Der Scope ändert sich auf CVSS-Ebene nicht, aber in der Praxis erstreckt sich der operationale Schadenradius weit über die KACE-SMA-Appliance selbst hinaus auf jeden verwalteten Endpunkt in der Flotte.
Der Vertraulichkeitsimpact (Confidentiality) ist Hoch (High): Ein Angreifer erhält Zugriff auf vollständige Hardware- und Software-Inventare aller verwalteten Geräte, auf im KACE Managed-Credentials-Feature gespeicherte Zugangsdaten, auf Software-Lizenzinformationen, Benutzerkonten-Zuordnungen und potenziell Domain-Zugangsdaten, die für Software-Deployments oder Agent-Kommunikation verwendet werden. Der Integritätsimpact (Integrity) ist Hoch (High): Der Angreifer kann beliebige Software-Pakete auf verwalteten Endpunkten deployen, Skripte über die KACE-Scripting-Engine über die Gerätepopulation hinweg ausführen, Patch-Management-Richtlinien modifizieren, um Sicherheitsupdates zu verhindern, und Agent-Konfigurationen ändern. Der Verfügbarkeitsimpact (Availability) ist Hoch (High): Der Angreifer kann Geräte-Wipes auslösen, kritische Software deinstallieren, Patch-Deployment-Zeitpläne unterbrechen oder KACE als Verteilungspunkt für destruktive Payloads nutzen. Angesichts des EPSS-Scores im 97,5. Perzentil und der bestätigten KEV-Listung sollten Organisationen dies als Remediierung auf Incident-Response-Niveau priorisieren, nicht als routinemäßige Patch-Aktivität.
Exploit-Reifegrad
CVE-2025-32975 ist als aktiv in der Praxis ausgenutzt bestätigt, mit CISA-Aufnahme in den KEV-Katalog am 2026-04-20 und einer Remediierungsfrist bis 2026-05-04 unter Binding Operational Directive 22-01. Die KEV-Listung wird durch einen EPSS-Score von 0,42123 — dem 97,5. Perzentil — gestützt, was ein bemerkenswert hoher Ausnutzungswahrscheinlichkeits-Score ist und diesen CVE in die Top 2,5 % aller CVEs nach beobachteter Ausnutzungsfrequenz einordnet. Der EPSS-Score spiegelt tatsächliche Ausnutzungstelemetrie aus Honeypots, IDS-Sensoren und Threat-Intelligence-Feeds wider, was bedeutet, dass aktive Exploit-Versuche in erheblichem Ausmaß beobachtet wurden.
Zum Zeitpunkt der Veröffentlichung wurden keine spezifischen Ransomware-Gruppen oder APT-Akteure öffentlich der Ausnutzung von CVE-2025-32975 zugeschrieben. Die Möglichkeit, die es bietet — nicht authentifizierter Zugriff auf Enterprise-Endpunktverwaltungsinfrastruktur — ist jedoch ein kanonischer Enabler sowohl für finanziell motivierte Ransomware-Betreiber als auch für Spionageakteure. Ransomware-Gruppen greifen häufig RMM (Remote Monitoring and Management)- und MDM (Mobile Device Management)-Plattformen an, weil sie eingebaute Mechanismen für die Massen-Software-Verteilung bereitstellen, was sie zu effektiven Ransomware-Verteilungskanälen macht, sobald sie kompromittiert sind. Der administrative Zugriff auf verwaltete Endpunkte, den KACE SMA bietet, entspricht genau dem "Living off the Land"-Tooling, das moderne Ransomware-Betreiber bevorzugen.
Die Kombination aus sehr hohem EPSS-Score und KEV-Bestätigung macht CVE-2025-32975 zu einer kritischen sofortigen Remediierungspriorität für alle Organisationen, die Quest KACE SMA betreiben, unabhängig davon, ob sie bisher Kompromittierungsindikatoren beobachtet haben.
Behebung
-
Einhaltung der CISA KEV Directive: Föderale zivile Exekutivbehörden müssen CVE-2025-32975 bis 2026-05-04 gemäß CISA KEV Binding Operational Directive (BOD 22-01) remediieren. Alle anderen Organisationen sollten dieselbe Frist als Best Practice anwenden, angesichts des EPSS-Scores im 97,5. Perzentil, der auf massenhafte Ausnutzungsversuche hindeutet.
-
Quest KACE SMA Patch anwenden: Aktualisieren Sie Quest KACE Systems Management Appliance auf die Version, die CVE-2025-32975 behebt, wie im Quest Security Advisory angegeben. Quest KACE SMA Updates werden über die Administrator Console unter Settings > General Settings > Quest KACE SMA Update oder über den eingebauten Update-Mechanismus der Appliance angewendet. Überprüfen Sie die aktuelle Version und konsultieren Sie das Quest Advisory für das minimale gepatchte Release.
-
Interim-Maßnahmen: Falls sofortiges Patching nicht abgeschlossen werden kann, beschränken Sie den Netzwerkzugriff auf das KACE SMA Web-Interface (typischerweise Port 443) auf nur vertrauenswürdige interne Management-Netzwerkbereiche über Firewall-ACLs oder Netzwerk-Sicherheitsgruppen. Deaktivieren Sie sofort jede externe Internet-Exposition des KACE SMA Admin-Interface. Erwägen Sie, die Appliance in einen Wartungsmodus zu versetzen, der neue Verbindungen blockiert, wenn eine Netzwerkbeschränkung nicht machbar ist.
-
Netzwerk- und Zugriffskontrollen: Überprüfen Sie die aktuelle Netzwerkexposition der KACE SMA Appliance — bestätigen Sie, dass sie nicht über das Internet, Gast-Netzwerke oder nicht vertrauenswürdige VLANs erreichbar ist. Erzwingen Sie Netzwerksegmentierung, sodass KACE SMA nur von Administrator-Workstations und verwalteten Geräte-Subnetzen erreichbar ist, die für die Agent-Kommunikation erforderlich sind. Falls Remote-Management benötigt wird, verlangen Sie VPN mit MFA, bevor KACE SMA erreichbar ist.
-
Erkennung und Incident-Untersuchung: Überprüfen Sie KACE SMA Zugriffslogs auf Authentifizierungsereignisse, die nicht bekannter Administrator-Aktivität entsprechen, insbesondere von unerwarteten IP-Adressen. Untersuchen Sie KACE SMA Audit-Logs auf ungewöhnliche Skriptaufgaben-Ausführungen, Software-Deployments oder Konfigurationsänderungen — besonders außerhalb der Geschäftszeiten. Suchen Sie nach neu in KACE SMA erstellten Konten oder Änderungen in der Administrator-Gruppen-Mitgliedschaft. Angesichts der KEV-Bestätigung sollten alle unerklärlichen KACE-SMA-Aktivitäten seit der öffentlichen Bekanntmachung des CVE als potenziell aktive Kompromittierung angesehen werden.
-
Defense-in-Depth für CWE-287: Implementieren Sie netzwerk-ebenen-Authentifizierung (VPN mit MFA) als Voraussetzung für den Zugriff auf jedes Management-Appliance-Interface. Erzwingen Sie serverseitige Session-Token-Validierung für alle KACE SMA API- und Web-Anfragen. Überprüfen und rotieren Sie alle im KACE SMA Managed-Credentials-Feature gespeicherten Zugangsdaten, falls unautorisierter Zugriff vermutet wird. Aktivieren und leiten Sie KACE SMA Audit-Logs an ein SIEM für laufendes Monitoring von Authentifizierungsanomalien weiter.
Technische Details
CVE-2025-32975 wird unter CWE-287 (Improper Authentication) klassifiziert, was darauf hinweist, dass die Ursache in der Authentifizierungsverifizierungslogik der Quest KACE SMA Web-Applikationsschicht liegt. Quest KACE SMA ist als webbasierte Appliance-Management-Plattform aufgebaut, und ihr Authentifizierungssystem regelt den Zugriff auf die Administrator-Konsole und die zugrundeliegenden API-Endpunkte, die Endpunktverwaltungsoperationen steuern.
Die Schwachstelle ermöglicht es einem Angreifer, legitime Benutzer — einschließlich Administratoren — zu impersonieren, ohne gültige Zugangsdaten bereitzustellen. Diese Art von Authentifizierungs-Bypass kann aus mehreren Ursachen entstehen: Session-Fixation oder Akzeptanz gefälschter Session-Token, Logikfehler in der Authentifizierungs-Middleware, die Anfragen den Credential-Check umgehen lassen, wenn bestimmte Parameter vorhanden sind, unsichere direkte Objektreferenzen, die erlauben, Benutzerkontext ohne Authentifizierung zu setzen, oder Fehler in der SAML/SSO-Integrationslogik, falls externe Authentifizierung konfiguriert ist. Der spezifische technische Mechanismus ist im Quest Vendor Advisory beschrieben.
Der hohe EPSS-Score (0,42123, 97,5. Perzentil) zeigt an, dass diese Schwachstelle in weit verbreiteten Ausnutzungsversuchen in der Praxis beobachtet wurde, was mit dem KEV-Eintrag konsistent ist. Quest KACE SMA ist in einer breiten Palette von Unternehmensumgebungen eingesetzt, einschließlich Gesundheitswesen, Bildung, Regierung und Finanzdienstleistungen, was Bedrohungsakteuren eine hochwertige, hochverfügbare Angriffsfläche bietet. Die Appliance betreibt typischerweise erhöhte Vertrauensbeziehungen zu verwalteten Endpunkten über den KACE-Agent, was bedeutet, dass ein erfolgreicher Authentifizierungs-Bypass nicht nur KACE-Konsolen-Zugriff, sondern einen vertrauenswürdigen Software-Verteilungskanal zu allen verwalteten Geräten bietet.
Das Quest Security Advisory (verfügbar im Quest Support Portal) liefert die Fixed-Version-Informationen, den CVSSv3-Vektor und zusätzliche technische Indikatoren. Organisationen sollten das Advisory für umgebungsspezifische Remediierungsanleitung konsultieren, da SMA-Deployment-Konfigurationen (virtuelle vs. physische Appliance, HA-Konfigurationen, Agent-Konnektivität) die Patch-Anwendungsprozeduren beeinflussen können.
Häufig gestellte Fragen
Wird CVE-2025-32975 aktiv ausgenutzt?
Ja. CISA hat die aktive Ausnutzung bestätigt, indem CVE-2025-32975 am 2026-04-20 in den KEV-Katalog aufgenommen wurde. Dies wird durch einen EPSS-Score von 0,42123 (97,5. Perzentil) weiter unterstützt, der Ausnutzungsversuche mit sehr hoher Frequenz in Threat-Intelligence-Telemetrie widerspiegelt. Organisationen sollten dies als aktives Ausnutzungsereignis behandeln und die Remediierung entsprechend priorisieren.
Welche Produkte sind betroffen?
Quest KACE Systems Management Appliance (SMA) ist betroffen. KACE SMA ist eine Enterprise-IT-Asset-Management- und Endpunktverwaltungs-Appliance, die für Software-Deployment, Patch-Management, Hardware-/Software-Inventar und Geräte-Lifecycle-Management eingesetzt wird. Die spezifischen betroffenen Versionen sind im Quest Security Advisory im Quest Support Portal aufgeführt. Organisationen sollten alle KACE-SMA-Instanzen in ihrer Umgebung identifizieren, einschließlich HA- oder replizierter Konfigurationen.
Wie behebe ich die Schwachstelle?
Wenden Sie den von Quest in ihrem Security Advisory für CVE-2025-32975 bereitgestellten Patch an. Updates werden über die KACE SMA Administrator Console unter Settings > General Settings > Quest KACE SMA Update angewendet. Falls sofortiges Patching nicht möglich ist, beschränken Sie den Netzwerkzugriff auf das KACE SMA Web-Interface auf nur administrator-eigene Netzwerkbereiche und deaktivieren Sie jede Internet-Exposition der Appliance. Rotieren Sie alle im KACE SMA Managed-Credentials-Store gespeicherten Zugangsdaten nach dem Patching.
Wie schwerwiegend ist die Schwachstelle?
CVE-2025-32975 ist Kritisch (Critical). Ein nicht authentifizierter Netzwerkangreifer kann jeden Benutzer auf der Plattform impersonieren — einschließlich Administratoren — ohne deren Zugangsdaten zu kennen. Dies gewährt vollständige Kontrolle über die KACE SMA Konsole und alle damit verbundenen Endpunktverwaltungsfähigkeiten, einschließlich Software-Deployment auf jedes verwaltete Gerät in der Flotte. Der EPSS-Score im 97,5. Perzentil und die bestätigte KEV-Listung machen dies zu einer der höchstprioritären Schwachstellen in der aktuellen Bedrohungslandschaft.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.