CVE-2025-4427
Ivanti Endpoint Manager Mobile (EPMM) Authentication Bypass Vulnerability
Beschreibung
CVE-2025-4427 ist eine Authentifizierungsumgehung in der API-Komponente von Ivanti Endpoint Manager Mobile (EPMM) Version 12.5.0.0 und frueher. Die Schwachstelle ermoeglicht es nicht authentifizierten Angreifern, ueber die API auf geschuetzte Ressourcen zuzugreifen, ohne gueltige Zugangsdaten vorweisen zu muessen. Dies stellt eine fundamentale Luecke in der Zugriffskontrolle dar.
Mit einem CVSS v3.1-Score von 5.3 (MEDIUM) ist die unmittelbare Auswirkung auf die Vertraulichkeit beschraenkt. Jedoch zeigt der ausserordentlich hohe EPSS-Score von 90.79 % (99. Perzentil), dass CVE-2025-4427 zu den am intensivsten ausgenutzten Schwachstellen weltweit gehoert. Die CISA hat diese Schwachstelle in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 9. Juni 2025. Besonders kritisch ist die Verkettung mit CVE-2025-4428, die eine Remote-Code-Execution ohne Authentifizierung ermoeglicht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:NIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ivanti | endpoint manager mobile | < 11.12.0.5; >= 12.3.0.0, < 12.3.0.2; >= 12.4.0.0, < 12.4.0.2; 12.5.0.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
Schwachstellentyp
CWE-288: Authentifizierungsumgehung ueber alternativen Pfad oder Kanal
CVE-2025-4427 basiert auf CWE-288 (Authentifizierungsumgehung ueber alternativen Pfad oder Kanal), einer Schwachstellenklasse, bei der Systeme mit Authentifizierungsanforderungen ueber alternative Einstiegspunkte umgangen werden koennen. Im Fall von Ivanti EPMM koennen Angreifer die API-Komponente direkt ansprechen und auf geschuetzte Ressourcen zugreifen, ohne die vorgesehenen Authentifizierungskontrollen durchlaufen zu muessen.
Weitere Informationen: CWE-288 -- Authentifizierungsumgehung
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-4427 sind vor allem im Kontext der Schwachstellenverkettung mit CVE-2025-4428 zu bewerten. Isoliert betrachtet zeigt der CVSS-Vektor, dass die Schwachstelle ueber das Netzwerk (AV:N) ohne Authentifizierung (PR:N) und ohne Benutzerinteraktion (UI:N) mit niedriger Komplexitaet (AC:L) ausnutzbar ist. Vertraulichkeit (Low): Die Authentifizierungsumgehung ermoeglicht den Zugriff auf geschuetzte API-Endpunkte und die darin enthaltenen Informationen. In Kombination mit CVE-2025-4428 wird jedoch die gesamte Angriffskette zur vollstaendigen Systemkompromittierung ermoeglicht, da die Code-Injection-Schwachstelle ohne vorherige Authentifizierung ausgenutzt werden kann. Der ausserordentlich hohe EPSS-Score von 90.79 % im 99. Perzentil zeigt, dass diese Schwachstelle zu den am intensivsten angegriffenen ueberhaupt gehoert. Diese Authentifizierungsumgehung dient als Tueroffner fuer die nachgelagerte Remote-Code-Execution und ist somit ein kritischer Bestandteil der Angriffskette.
Exploit-Reifegrad
CVE-2025-4427 weist eine ausserordentlich hohe Exploit-Reife auf. Die CISA hat die Schwachstelle im KEV-Katalog als aktiv ausgenutzt gefuehrt, mit einer Behebungsfrist bis zum 9. Juni 2025. Der EPSS-Score von 90.79 % (99. Perzentil) ist einer der hoechsten ueberhaupt und platziert diese Schwachstelle unter den Top 1 % der am staerksten ausgenutzten weltweit. Die Schwachstelle wird primaer in Kombination mit CVE-2025-4428 ausgenutzt, wobei die Authentifizierungsumgehung den ersten Schritt der Angriffskette darstellt, gefolgt von der Code-Injection fuer die eigentliche Systemkompromittierung. Ivanti-Produkte waren in den vergangenen Jahren wiederholt Ziel von APT-Gruppen und staatlich unterstuetzten Angreifern, was die unmittelbare Dringlichkeit der Behebung unterstreicht.
Behebung
-
Umgehendes Update installieren: Aktualisieren Sie Ivanti EPMM auf eine gepatchte Version. Betroffene Versionen vor 11.12.0.5 muessen auf 11.12.0.5 aktualisiert werden; Versionen 12.3.0.0 bis vor 12.3.0.2 auf 12.3.0.2; Versionen 12.4.0.0 bis vor 12.4.0.2 auf 12.4.0.2; Version 12.5.0.0 erfordert das entsprechende Sicherheitsupdate.
-
API-Zugriff sofort einschraenken: Bis zum Einspielen des Updates beschraenken Sie den Zugriff auf die EPMM-API auf bekannte, vertrauenswuerdige IP-Bereiche mittels Firewall-Regeln. Blockieren Sie den externen Zugriff auf API-Endpunkte vollstaendig, wenn moeglich.
-
Reverse-Proxy mit Authentifizierung vorschalten: Implementieren Sie einen Reverse-Proxy mit zusaetzlicher Authentifizierungsschicht vor der EPMM-API, um unautorisierte Zugriffe auch bei Umgehung der nativen Authentifizierung abzufangen.
-
Zugriffsprotokolle analysieren: Ueberpruefen Sie alle API-Zugriffsprotokolle auf verdaechtige, nicht authentifizierte Anfragen. Achten Sie besonders auf ungewoehnliche Muster, die auf eine Ausnutzung der Authentifizierungsumgehung hindeuten.
-
EPMM-Server auf Kompromittierung pruefen: Fuehren Sie eine forensische Untersuchung durch, da die Schwachstelle aktiv und breit ausgenutzt wird. Pruefen Sie auf unbekannte Prozesse, veraenderte Dateien und verdaechtige Netzwerkverbindungen.
Technische Details
CVE-2025-4427 betrifft die API-Komponente von Ivanti Endpoint Manager Mobile (EPMM) Version 12.5.0.0 und frueher. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N zeigt, dass der Angriff ueber das Netzwerk ohne jegliche Authentifizierung oder Benutzerinteraktion mit niedriger Komplexitaet durchfuehrbar ist. Die Schwachstelle liegt in einem alternativen Zugangsweg zur API, der die vorgesehenen Authentifizierungskontrollen nicht durchsetzt. Angreifer koennen bestimmte API-Endpunkte direkt ansprechen und auf geschuetzte Ressourcen zugreifen, ohne gueltige Zugangsdaten vorzuweisen. Der Scope bleibt unveraendert (S:U) und die unmittelbare Auswirkung ist auf niedrige Vertraulichkeitsverletzungen beschraenkt. Die eigentliche Gefaehrlichkeit entsteht durch die Verkettung mit CVE-2025-4428 (Code Injection), wodurch ein nicht authentifizierter Angreifer vollstaendige Remote-Code-Execution auf dem EPMM-Server erlangt.
Häufig gestellte Fragen
Wird CVE-2025-4427 aktiv ausgenutzt?
Ja, CVE-2025-4427 wird massiv aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen. Der EPSS-Score von 90.79 % ist einer der hoechsten ueberhaupt und platziert diese Schwachstelle im 99. Perzentil. Die Ausnutzung erfolgt primaer in Kombination mit CVE-2025-4428.
Welche Produkte sind von CVE-2025-4427 betroffen?
Betroffen ist Ivanti Endpoint Manager Mobile (EPMM) in den Versionen vor 11.12.0.5, 12.3.0.0 bis vor 12.3.0.2, 12.4.0.0 bis vor 12.4.0.2 sowie Version 12.5.0.0. Die Schwachstelle betrifft spezifisch die API-Komponente des Produkts.
Wie behebe ich CVE-2025-4427?
Aktualisieren Sie Ivanti EPMM auf die entsprechende gepatchte Version. Bis zum Update schraenken Sie den API-Zugriff ueber Firewall-Regeln auf vertrauenswuerdige IP-Bereiche ein und implementieren Sie eine zusaetzliche Authentifizierungsschicht.
Wie schwerwiegend ist CVE-2025-4427?
Isoliert betrachtet hat CVE-2025-4427 einen CVSS-Score von 5.3 (MEDIUM). In Kombination mit CVE-2025-4428 wird die Schwachstellenkette jedoch kritisch, da sie unauthentifizierte Remote-Code-Execution ermoeglicht. Der EPSS-Score von 90.79 % im 99. Perzentil bestaetigt die extreme Ausnutzungsintensitaet.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.