CVE-2025-4428
Ivanti Endpoint Manager Mobile (EPMM) Code Injection Vulnerability
Beschreibung
CVE-2025-4428 ist eine Remote-Code-Execution-Schwachstelle in der API-Komponente von Ivanti Endpoint Manager Mobile (EPMM) Version 12.5.0.0 und frueher. Ein authentifizierter Angreifer mit hohen Privilegien kann ueber manipulierte API-Anfragen beliebigen Code auf dem Server ausfuehren. Die Schwachstelle basiert auf einer Code-Injection-Luecke (CWE-94) und wird mit einem CVSS v3.1-Score von 7.2 (HIGH) bewertet.
Die CISA hat CVE-2025-4428 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 9. Juni 2025. Der EPSS-Score von 43.33 % (97. Perzentil) zeigt eine ausserordentlich hohe Ausnutzungswahrscheinlichkeit an. Ivanti EPMM wird weltweit von Unternehmen zur Verwaltung mobiler Endgeraete eingesetzt, was eine Kompromittierung besonders weitreichende Auswirkungen auf die gesamte mobile Infrastruktur haben kann.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ivanti | endpoint manager mobile | < 11.12.0.5; >= 12.3.0.0, < 12.3.0.2; >= 12.4.0.0, < 12.4.0.2; 12.5.0.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
Schwachstellentyp
CWE-94: Code Injection
CVE-2025-4428 basiert auf CWE-94 (Code Injection), einer der schwerwiegendsten Schwachstellenklassen. Bei Code Injection werden extern beeinflusste Eingaben nicht ordnungsgemaess neutralisiert, bevor sie an einen Code-Interpreter uebergeben werden. Im Fall von Ivanti EPMM koennen authentifizierte Angreifer ueber die API-Komponente manipulierte Anfragen senden, die vom Server als ausfuehrbarer Code interpretiert werden, was zur vollstaendigen Kompromittierung des Systems fuehrt.
Weitere Informationen: CWE-94 -- Code Injection
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-4428 sind aufgrund der zentralen Rolle von Ivanti EPMM in der Verwaltung mobiler Endgeraete besonders schwerwiegend. Der CVSS-Vektor zeigt, dass die Schwachstelle ueber das Netzwerk (AV:N) mit niedriger Komplexitaet (AC:L) ausnutzbar ist, wobei hohe Privilegien erforderlich sind (PR:H), jedoch keine Benutzerinteraktion noetig ist (UI:N). Vertraulichkeit (High): Ein Angreifer mit Code-Ausfuehrung auf dem EPMM-Server kann auf saemtliche verwalteten Geraetelkonfigurationen, Unternehmenszertifikate, VPN-Zugangsdaten und potenziell auf die Inhalte verwalteter mobiler Geraete zugreifen. Integritaet (High): Der Angreifer kann Geraetkonfigurationen manipulieren, Schadsoftware auf verwaltete Geraete verteilen oder Sicherheitsrichtlinien aendern. Verfuegbarkeit (High): Der Angreifer kann den EPMM-Dienst stoeren oder das System vollstaendig kompromittieren. Der EPSS-Score von 43.33 % im 97. Perzentil unterstreicht die hohe Wahrscheinlichkeit aktiver Ausnutzung. In Kombination mit CVE-2025-4427, einer Authentifizierungsumgehung in derselben EPMM-Instanz, kann die Angriffsvoraussetzung hoher Privilegien umgangen werden, was den tatsaechlichen Impact erheblich steigert.
Exploit-Reifegrad
CVE-2025-4428 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die Schwachstelle im KEV-Katalog als aktiv ausgenutzt gefuehrt, mit einer Behebungsfrist bis zum 9. Juni 2025. Der EPSS-Score von 43.33 % (97. Perzentil) platziert diese Schwachstelle unter den Top 3 % der am staerksten ausgenutzten weltweit. Besonders kritisch ist die Moeglichkeit der Verkettung mit CVE-2025-4427, einer Authentifizierungsumgehung in der gleichen API-Komponente von Ivanti EPMM. In Kombination ermoeglicht diese Schwachstellenkette einem nicht authentifizierten Angreifer die vollstaendige Uebernahme des EPMM-Servers. Ivanti-Produkte waren in den letzten Jahren wiederholt Ziel gezielter Angriffe, was auf ein anhaltendes Interesse von Bedrohungsakteuren an dieser Produktfamilie hindeutet.
Behebung
-
Umgehendes Update installieren: Aktualisieren Sie Ivanti EPMM auf eine gepatchte Version. Betroffene Versionen vor 11.12.0.5 muessen auf 11.12.0.5 aktualisiert werden; Versionen 12.3.0.0 bis vor 12.3.0.2 auf 12.3.0.2; Versionen 12.4.0.0 bis vor 12.4.0.2 auf 12.4.0.2; Version 12.5.0.0 erfordert das entsprechende Sicherheitsupdate.
-
API-Zugriff einschraenken: Beschraenken Sie den Zugriff auf die EPMM-API auf vertrauenswuerdige IP-Bereiche und administrative Netzwerke. Implementieren Sie zusaetzliche Authentifizierungsmechanismen wie Mutual TLS oder IP-basierte Zugriffslisten.
-
Privilegierte Konten ueberpruefen: Auditieren Sie alle Benutzerkonten mit hohen Privilegien auf dem EPMM-Server. Entfernen Sie nicht mehr benoetigte Accounts und implementieren Sie Multi-Faktor-Authentifizierung fuer administrative Zugaenge.
-
Forensische Untersuchung durchfuehren: Untersuchen Sie EPMM-Server auf Anzeichen einer Kompromittierung, insbesondere verdaechtige API-Aufrufe in den Zugriffsprotokollen und unbekannte Prozesse auf dem Server.
-
Netzwerksegmentierung implementieren: Isolieren Sie den EPMM-Server in einem dedizierten Management-Netzwerksegment und ueberwachen Sie den Netzwerkverkehr auf anomale Muster.
Technische Details
CVE-2025-4428 betrifft die API-Komponente von Ivanti Endpoint Manager Mobile (EPMM) Version 12.5.0.0 und frueher. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H zeigt, dass der Angriff ueber das Netzwerk mit niedriger Komplexitaet durchfuehrbar ist, wobei hohe Privilegien erforderlich sind. Die Schwachstelle ermoeglicht die Einschleusung und Ausfuehrung von beliebigem Code ueber speziell praeparierte API-Anfragen. Ein authentifizierter Angreifer mit administrativen Rechten kann manipulierte Daten an API-Endpunkte senden, die vom Server als ausfuehrbarer Code interpretiert werden. Der Scope bleibt unveraendert (S:U), alle drei Impact-Metriken sind auf High gesetzt, was die vollstaendige Kompromittierung des EPMM-Servers ermoeglicht. Besonders kritisch ist die potenzielle Verkettung mit CVE-2025-4427, die eine Authentifizierungsumgehung in derselben API-Komponente darstellt und die Privilege-Anforderung effektiv aufhebt.
Häufig gestellte Fragen
Wird CVE-2025-4428 aktiv ausgenutzt?
Ja, CVE-2025-4428 wird aktiv ausgenutzt. Die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen. Der EPSS-Score von 43.33 % bestaetigt die ausserordentlich hohe Ausnutzungswahrscheinlichkeit. Besonders kritisch ist die Kombination mit CVE-2025-4427 fuer unauthentifizierte Angriffe.
Welche Produkte sind von CVE-2025-4428 betroffen?
Betroffen ist Ivanti Endpoint Manager Mobile (EPMM) in den Versionen vor 11.12.0.5, 12.3.0.0 bis vor 12.3.0.2, 12.4.0.0 bis vor 12.4.0.2 sowie Version 12.5.0.0. EPMM wird weltweit zur Verwaltung mobiler Endgeraete eingesetzt.
Wie behebe ich CVE-2025-4428?
Aktualisieren Sie Ivanti EPMM auf die entsprechende gepatchte Version (11.12.0.5, 12.3.0.2, 12.4.0.2 oder das Update fuer 12.5.0.0). Beschraenken Sie den API-Zugriff auf vertrauenswuerdige Netzwerke und fuehren Sie eine forensische Pruefung durch.
Wie schwerwiegend ist CVE-2025-4428?
CVE-2025-4428 hat einen CVSS-Score von 7.2 (HIGH) und einen EPSS-Score von 43.33 % im 97. Perzentil. In Kombination mit CVE-2025-4427 steigt die Bedrohung erheblich, da Angreifer ohne Authentifizierung beliebigen Code ausfuehren koennen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.