Ein nicht authentifizierter Angreifer aus dem Netz kann über einen manipulierten Datei-Pfad den EPM-Server dazu zwingen, sich bei einem angreiferkontrollierten Server anzumelden – und die dabei preisgegebenen Maschinenkonto-Zugangsdaten weiterreichen (Relay). In der Praxis führt das bis zur vollständigen Übernahme des EPM. Die Lücke ist Teil eines Trios (mit CVE-2024-13159 und CVE-2024-13160), steht seit dem 10. März 2025 im CISA-KEV-Katalog, und öffentlicher PoC-Code existiert.
Advisory als PDF herunterladenBetroffene EPM-Funktionen berechnen Datei-Hashes und lesen dafür Dateien in bestimmten Verzeichnissen – die dafür übergebenen Pfadangaben werden jedoch nicht validiert (CWE-36, absolute Path Traversal). Ein Angreifer kann so einen Pfad übergeben, der auf einen entfernten UNC-Pfad (\\angreifer\share) zeigt. Der EPM-Core-Server verbindet sich daraufhin selbst zu diesem Server und gibt dabei die Zugangsdaten seines Maschinenkontos preis. Diese lassen sich per NTLM-Relay an das LDAP weiterreichen, um ein Maschinenkonto anzulegen und den EPM zu kompromittieren.
| EPM-Version | Verwundbar | Fixversion |
|---|---|---|
| EPM 2024 | vor Jan-2025-Update | 2024 January-2025 Security Update |
| EPM 2022 SU6 | vor Jan-2025-Update | 2022 SU6 January-2025 Security Update |
| EPM 2022 SU5 & älter | nicht mehr direkt gepatcht | zuerst auf 2022 SU6 heben, dann Jan-2025-Update |
Fixes stehen nur für die unterstützten Zweige EPM 2024 und EPM 2022 SU6 bereit. Ältere 2022-Servicepacks (SU1–SU5) müssen zunächst auf SU6 angehoben werden. Die exakte Build-/Update-Bezeichnung gegen das Hersteller-Advisory des eigenen Zweigs abgleichen.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff oder Informationsabfluss kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Betroffenheit klären, patchen, dann Kompromittierung ausschließen.
January-2025 Security Update des eigenen Zweigs aktualisieren (EPM 2024 bzw. EPM 2022 SU6). Es adressiert das gesamte Trio CVE-2024-13159 / -13160 / -13161.(TCP 445) vom EPM-Core-Server zu unerwarteten oder externen ZielenMaschinen-/Computerkonten · NTLM-Anmeldungen des EPM-Maschinenkontos an fremden Zielen(\\host\share)Zur Einordnung: Es sind keine belastbaren, öffentlich bestätigten Angreifer-IPs oder festen Datei-IoCs zu dieser Kampagne veröffentlicht. Die genannten Indikatoren sind verhaltensbasiert – kein Ersatz für die Auswertung Ihrer EPM-Server- und Active-Directory-Protokolle.
Wichtig: Der Angriff läuft über den EPM-Server selbst: Er wird gezwungen, sich am angreiferkontrollierten Server anzumelden. Erfolgreiche Ausnutzung hinterlässt kaum Alarme – auffällig ist vor allem die ausgehende SMB-Verbindung des Servers und ein neues Maschinenkonto im AD.
Ivanti Security Advisory EPM January-2025 (EPM 2024 & EPM 2022 SU6) · NVD CVE-2024-13161 (NIST 3.1 = 7,5; CNA/Ivanti 3.1 = 9,8; CWE-36) · CISA Known Exploited Vulnerabilities Catalog (Aufnahme 10.03.2025, Frist 31.03.2025, Ransomware-Nutzung: unbekannt) · Horizon3.ai PoC-Analyse. Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Bezeichnungen gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Die ausgehende SMB-Zwangsanmeldung des EPM-Servers und die Anlage eines neuen Maschinenkontos. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Auf verwalteten Endpunkten lässt sich eine Ausnutzung nachgelagert erkennen und eingrenzen, auch wenn der Patch noch nicht überall ausgerollt ist.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.