CVE-2026-1603
Ivanti Endpoint Manager (EPM) Authentication Bypass Vulnerability
Beschreibung
CVE-2026-1603 ist eine schwerwiegende Authentifizierungs-Bypass-Schwachstelle in Ivanti Endpoint Manager (EPM) mit einem CVSS-3.1-Score von 8.6 (HIGH). Die Schwachstelle ermöglicht einem nicht authentifizierten entfernten Angreifer, Authentifizierungsmechanismen zu umgehen und gespeicherte Zugangsdaten aus betroffenen Ivanti EPM-Instanzen vor dem 2024 SU5-Update zu extrahieren. Der Fehler umfasst Schwächen sowohl in der Authentifizierungsumgehung über alternative Pfade (CWE-288) als auch fehlende Authentifizierung für kritische Funktionen (CWE-306). Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV) Katalog gelistet, hinzugefügt am 2026-03-09 mit einer Behebungsfrist bis zum 2026-03-23. Mit einem EPSS-Score von 0,457 (45,7%) hat diese Schwachstelle eine hohe Ausnutzungswahrscheinlichkeit und erfordert dringende Behebung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ivanti | endpoint manager | < 2024; 2024 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
Schwachstellentyp
CWE-288: Authentifizierungsumgehung über alternativen Pfad / CWE-306: Fehlende Authentifizierung für kritische Funktion
CVE-2026-1603 wird unter CWE-288 — Authentifizierungsumgehung über einen alternativen Pfad oder Kanal, und CWE-306 — Fehlende Authentifizierung für kritische Funktion klassifiziert. CWE-288 tritt auf, wenn ein System einen alternativen Authentifizierungspfad bereitstellt, der nicht dieselben Sicherheitskontrollen wie der primäre Mechanismus durchsetzt, wodurch Angreifer die Authentifizierung vollständig umgehen können. CWE-306 tritt auf, wenn eine kritische Funktion keine Authentifizierungsprüfung aufweist und somit nicht authentifiziertem Zugriff ausgesetzt ist.
Im Kontext von Ivanti Endpoint Manager, einer Enterprise-Endpoint-Management-Plattform zur Software-Bereitstellung, Patch-Verwaltung und Gerätekonfiguration in großen Organisationen, sind Authentifizierungs-Bypass-Schwachstellen außerordentlich gefährlich. Ivanti EPM-Server speichern und verwalten Zugangsdaten für die Agent-Bereitstellung, den Zugriff auf verwaltete Endpunkte und die Integration mit Verzeichnisdiensten. Eine Authentifizierungsumgehung, die gespeicherte Zugangsdaten offenlegt, liefert einem Angreifer die Schlüssel zur Endpoint-Management-Infrastruktur einer Organisation und ermöglicht weitreichende laterale Bewegung, Massen-Malware-Bereitstellung und potenziell die vollständige Kompromittierung aller verwalteten Endpunkte.
Auswirkungsanalyse
CVE-2026-1603 hat einen CVSS-3.1-Score von 8.6 (HIGH) mit dem Vektor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N.
Vertraulichkeit (HIGH): Die primäre Auswirkung ist die Offenlegung von Zugangsdaten. Ein nicht authentifizierter Angreifer kann gespeicherte Zugangsdaten vom Ivanti EPM-Server extrahieren, darunter Service-Account-Passwörter, Bereitstellungs-Zugangsdaten, Datenbankverbindungs-Strings und Verzeichnisdienst-Integrations-Zugangsdaten. Diese Zugangsdaten haben typischerweise breiten Zugang über die verwaltete Umgebung.
Integrität (NONE): Die Schwachstelle ermöglicht in der bewerteten Form keine direkte Datenmodifikation. Die geleakten Zugangsdaten können jedoch in Folgeangriffen verwendet werden, die verheerende Integritätsauswirkungen über die gesamte verwaltete Endpunkt-Flotte haben.
Verfügbarkeit (NONE): Die Schwachstelle beeinträchtigt die Dienstverfügbarkeit nicht direkt.
Scope Changed (S:C): Dies ist ein kritischer Aspekt der Bewertung. Der Changed Scope zeigt an, dass die Ausnutzung von Ivanti EPM Ressourcen jenseits des EPM-Servers selbst betrifft. Geleakte Zugangsdaten können zur Kompromittierung verwalteter Endpunkte, Verzeichnisdienste und anderer Systeme verwendet werden. Der Wirkungsradius erstreckt sich auf jedes System, das von der kompromittierten EPM-Instanz verwaltet oder mit ihr verbunden ist.
Exploit-Reifegrad
Exploit-Status: CVE-2026-1603 wird aktiv in der Praxis ausgenutzt und ist seit dem 2026-03-09 im CISA Known Exploited Vulnerabilities Katalog gelistet. Der EPSS-Score von 45,7% bestätigt signifikante Ausnutzungsaktivität. Ivanti-Produkte wurden wiederholt von fortgeschrittenen Bedrohungsakteuren angegriffen, einschließlich staatlich geförderter Gruppen. Authentifizierungs-Bypass-Schwachstellen in Endpoint-Management-Plattformen gehören zu den meistgesuchten Initial-Access-Vektoren aufgrund der Breite des Zugangs, den sie bieten.
Ransomware-Bezug: Endpoint-Management-Plattformen wie Ivanti EPM sind hochrangige Ziele für Ransomware-Betreiber. Die Fähigkeit, gespeicherte Zugangsdaten zu extrahieren und die EPM-Infrastruktur für Massenbereitstellung zu nutzen, macht diese Schwachstellenklasse besonders attraktiv für großangelegte Ransomware-Kampagnen. Historische Angriffe gegen ähnliche Management-Tools haben zu organisationsweiten Ransomware-Bereitstellungen geführt.
Angriffsfläche: Jede Ivanti Endpoint Manager-Instanz vor dem 2024 SU5-Update, die netzwerkerreichbar ist, ist verwundbar. Die nicht authentifizierte Natur bedeutet, dass keine Zugangsdaten für den Angriffsbeginn benötigt werden.
KEV-Frist: Die CISA hat eine Behebungsfrist bis zum 2026-03-23 festgelegt. Angesichts der Credential-Leakage-Fähigkeit und des Changed Scope sollte diese Frist als Maximum behandelt werden — eine frühere Behebung wird dringend empfohlen.
Behebung
- Ivanti EPM 2024 SU5 sofort anwenden. Aktualisieren Sie alle Ivanti Endpoint Manager-Instanzen auf das 2024 SU5-Release oder höher. Dies ist der vom Hersteller bereitgestellte Fix für die Authentifizierungs-Bypass-Schwachstelle.
- Netzwerkzugang zu EPM-Servern einschränken. Implementieren Sie strikte Netzwerksegmentierung und Zugriffskontrollen für Ivanti EPM-Verwaltungsschnittstellen. Nur autorisierte Administrator-Workstations sollten die EPM-Konsole erreichen können. Entfernen Sie jegliche unnötige Internet-Exposition.
- Alle in Ivanti EPM gespeicherten Zugangsdaten rotieren. Gehen Sie davon aus, dass alle in Ivanti EPM gespeicherten Zugangsdaten — einschließlich Service-Accounts, Bereitstellungs-Zugangsdaten, Datenbankpasswörter und Verzeichnisdienst-Integrations-Zugangsdaten — kompromittiert sein könnten. Rotieren Sie alle betroffenen Zugangsdaten sofort.
- Verwaltete Endpunkte auf Kompromittierungsanzeichen prüfen. Da geleakte EPM-Zugangsdaten Zugang zu verwalteten Endpunkten bieten, führen Sie eine gründliche Untersuchung über die verwaltete Geräteflotte durch. Suchen Sie nach unautorisierten Software-Installationen, Konfigurationsänderungen und Indikatoren für laterale Bewegung.
- Ivanti EPM-Zugriffsprotokolle überprüfen. Untersuchen Sie Server-Logs auf nicht authentifizierte Zugriffsversuche, ungewöhnliche API-Aufrufe und Credential-Retrieval-Aktivität.
- Erweitertes Monitoring auf EPM-Infrastruktur implementieren. Setzen Sie zusätzliches Logging und Alerting für Authentifizierungsereignisse, Credential-Zugriff und administrative Operationen auf Ivanti EPM-Servern ein.
Technische Details
CVE-2026-1603 ist eine schwerwiegende Authentifizierungs-Bypass-Schwachstelle in Ivanti Endpoint Manager, die nicht authentifizierte Credential-Leakage ermöglicht. Die Schwachstelle ist aus der Ferne über das Netzwerk mit niedriger Angriffskomplexität ausnutzbar. Keine Authentifizierung oder Benutzerinteraktion ist erforderlich.
Technischer Mechanismus: Ivanti EPM vor dem 2024 SU5-Update enthält Endpunkte oder Pfade, die entweder keine Authentifizierungsdurchsetzung aufweisen (CWE-306) oder über einen alternativen Pfad zugänglich sind, der den normalen Authentifizierungsmechanismus umgeht (CWE-288). Durch Ausnutzung dieser Schwächen kann ein nicht authentifizierter Angreifer auf Funktionalität zugreifen, die gespeicherte Zugangsdaten aus der EPM-Datenbank zurückgibt. Diese Zugangsdaten werden von EPM für die Endpunktverwaltung, Software-Bereitstellung und Integration mit Enterprise-Diensten wie Active Directory verwendet.
CVSS-3.1-Vektoranalyse (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N): Der Netzwerk-Angriffsvektor spiegelt wider, dass EPM-Verwaltungsschnittstellen typischerweise netzwerkerreichbar sind. Niedrige Angriffskomplexität zeigt, dass die Authentifizierungsumgehung unkompliziert ist. Der Changed Scope (S:C) ist das definierende Merkmal — geleakte Zugangsdaten betreffen Systeme weit über den EPM-Server hinaus. Vertraulichkeit ist HIGH aufgrund der Credential-Exposition, während Integrität und Verfügbarkeit nicht direkt betroffen sind.
Betroffene Versionen: Ivanti Endpoint Manager vor dem 2024 SU5-Update.
Häufig gestellte Fragen
Was ist CVE-2026-1603?
CVE-2026-1603 ist eine schwerwiegende (CVSS 8.6) Authentifizierungs-Bypass-Schwachstelle in Ivanti Endpoint Manager (EPM), die nicht authentifizierten Angreifern das Extrahieren gespeicherter Zugangsdaten ermöglicht. Die Schwachstelle umfasst sowohl fehlende Authentifizierung für kritische Funktionen als auch einen alternativen Authentifizierungs-Bypass-Pfad. Sie wird aktiv ausgenutzt und ist im CISA KEV-Katalog gelistet.
Welche Versionen von Ivanti EPM sind betroffen?
Ivanti Endpoint Manager-Versionen vor dem 2024 SU5-Update sind betroffen. Organisationen sollten auf das 2024 SU5-Release oder höher aktualisieren.
Wie behebe ich CVE-2026-1603?
Aktualisieren Sie Ivanti EPM sofort auf das 2024 SU5-Release oder höher. Rotieren Sie nach dem Patching alle in EPM gespeicherten und vom Server erreichbaren Zugangsdaten, beschränken Sie den Netzwerkzugang zur Verwaltungsschnittstelle und prüfen Sie verwaltete Endpunkte auf Kompromittierungsanzeichen.
Wie schwerwiegend ist CVE-2026-1603?
CVE-2026-1603 ist mit einem CVSS-Score von 8.6 als HIGH eingestuft und hat einen EPSS-Score von 45,7%. Der Changed Scope bedeutet, dass geleakte Zugangsdaten alle von Ivanti EPM verwalteten Systeme betreffen können. Die Schwachstelle wird aktiv ausgenutzt und hat eine CISA-KEV-Behebungsfrist bis zum 2026-03-23.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.