SECURITY ADVISORY

Absolute Path Traversal in Ivanti Endpoint Manager

Ein nicht authentifizierter Angreifer aus dem Netz kann über einen manipulierten Datei-Pfad den EPM-Server dazu zwingen, sich bei einem angreiferkontrollierten Server anzumelden – und die dabei preisgegebenen Maschinenkonto-Zugangsdaten weiterreichen (Relay). In der Praxis führt das bis zur vollständigen Übernahme des EPM. Die Lücke ist Teil eines Trios (mit CVE-2024-13159 und CVE-2024-13160), steht seit dem 10. März 2025 im CISA-KEV-Katalog, und öffentlicher PoC-Code existiert.

CVE-ID

CVE-2024-13161

CVSS

9,8

Schweregrad

Kritisch

Hersteller

Ivanti

Produkt

Ivanti Endpoint Manager (EPM)

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Betroffene EPM-Funktionen berechnen Datei-Hashes und lesen dafür Dateien in bestimmten Verzeichnissen – die dafür übergebenen Pfadangaben werden jedoch nicht validiert (CWE-36, absolute Path Traversal). Ein Angreifer kann so einen Pfad übergeben, der auf einen entfernten UNC-Pfad (\\angreifer\share) zeigt. Der EPM-Core-Server verbindet sich daraufhin selbst zu diesem Server und gibt dabei die Zugangsdaten seines Maschinenkontos preis. Diese lassen sich per NTLM-Relay an das LDAP weiterreichen, um ein Maschinenkonto anzulegen und den EPM zu kompromittieren.

Angriffskette

  1. Dienst erreichbar – der EPM-Core-Server-Webdienst ist ohne Authentifizierung erreichbar
  2. Pfad manipulieren – Hash-Funktion mit einem UNC-Pfad auf einen angreiferkontrollierten Server aufrufen
  3. Zwangs-Anmeldung – EPM-Server authentifiziert sich am fremden Server und leakt Maschinenkonto-Credentials (NTLM)
  4. Relay & Übernahme – Credentials an LDAP weiterreichen, Maschinenkonto anlegen, EPM übernehmen

Betroffene Versionen und Fixes

EPM-VersionVerwundbarFixversion
EPM 2024vor Jan-2025-Update2024 January-2025 Security Update
EPM 2022 SU6vor Jan-2025-Update2022 SU6 January-2025 Security Update
EPM 2022 SU5 & älternicht mehr direkt gepatchtzuerst auf 2022 SU6 heben, dann Jan-2025-Update

Fixes stehen nur für die unterstützten Zweige EPM 2024 und EPM 2022 SU6 bereit. Ältere 2022-Servicepacks (SU1–SU5) müssen zunächst auf SU6 angehoben werden. Die exakte Build-/Update-Bezeichnung gegen das Hersteller-Advisory des eigenen Zweigs abgleichen.

Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff oder Informationsabfluss kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • Jan. 2025 – Ivanti veröffentlicht Advisory + January-2025 Security Update
  • 24.02.2025 – Horizon3.ai veröffentlicht PoC-Exploit-Code
  • 10.03.2025 – Aufnahme in CISA KEV · BOD-22-01-Frist 31.03.2025
  • Seither – Als aktiv ausgenutzt geführt

Maßnahmenplan

In dieser Reihenfolge – Betroffenheit klären, patchen, dann Kompromittierung ausschließen.

  • Sofort: Betroffenheit & Exposition prüfen
  • Kurzfristig: January-2025-Update einspielen
  • Parallel: Threat Hunting / IoC-Abgleich
  1. Betroffenheit feststellen
    Version und Update-Stand des EPM-Core-Servers prüfen: Läuft EPM 2024 oder EPM 2022 SU6 ohne das January-2025 Security Update? Ältere 2022-Servicepacks (SU1–SU5) gelten ebenfalls als angreifbar und müssen zunächst auf SU6 gehoben werden.
  2. Exposition eingrenzen (vor dem Patch)
    Prüfen, ob der EPM-Core-Server-Webdienst über das interne Netz hinaus erreichbar ist, und den Zugriff auf das Nötige beschränken. Ausgehende SMB-/UNC-Verbindungen (TCP 445) vom EPM-Server nach außen an der Firewall unterbinden – das erschwert die Zwangs-Authentifizierung.
  3. Patchen
    Auf das January-2025 Security Update des eigenen Zweigs aktualisieren (EPM 2024 bzw. EPM 2022 SU6). Es adressiert das gesamte Trio CVE-2024-13159 / -13160 / -13161.
  4. Kompromittierung ausschließen
    Auf dem EPM-Server nach unerwarteten ausgehenden SMB-Verbindungen suchen und im Active Directory nach neu angelegten Maschinenkonten fahnden. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Credential-Relay-Angriff.
  5. Trio gesamthaft behandeln
    CVE-2024-13161 tritt gemeinsam mit CVE-2024-13159 und CVE-2024-13160 auf; alle drei sind Path-Traversal-Lücken im selben EPM und stehen im CISA-KEV-Katalog. Betroffenheits- und Patch-Status für alle drei gemeinsam dokumentieren.

Kompromittierungs-Indikatoren

  • Netz-Auffälligkeiten: Ausgehende SMB-/UNC-Verbindungen (TCP 445) vom EPM-Core-Server zu unerwarteten oder externen Zielen
  • Active Directory: Neu angelegte, unerklärte Maschinen-/Computerkonten · NTLM-Anmeldungen des EPM-Maschinenkontos an fremden Zielen
  • Anwendungsseitig: Aufrufe der EPM-Hash-/Datei-Funktionen mit Pfadparametern in UNC-Form (\\host\share)

Zur Einordnung: Es sind keine belastbaren, öffentlich bestätigten Angreifer-IPs oder festen Datei-IoCs zu dieser Kampagne veröffentlicht. Die genannten Indikatoren sind verhaltensbasiert – kein Ersatz für die Auswertung Ihrer EPM-Server- und Active-Directory-Protokolle.

Wichtig: Der Angriff läuft über den EPM-Server selbst: Er wird gezwungen, sich am angreiferkontrollierten Server anzumelden. Erfolgreiche Ausnutzung hinterlässt kaum Alarme – auffällig ist vor allem die ausgehende SMB-Verbindung des Servers und ein neues Maschinenkonto im AD.

Empfehlung für die Geschäftsleitung

  • January-2025-Update auf allen EPM-Servern kurzfristig einplanen – das Trio 13159/13160/13161 gemeinsam schließen.
  • Prüfen lassen, ob bereits ein Credential-Relay erfolgt ist – dokumentiert für eine etwaige Meldung.
  • Erreichbarkeit des EPM-Core-Servers und ausgehende SMB-Verbindungen dauerhaft einschränken und überwachen.

Primärquellen

Ivanti Security Advisory EPM January-2025 (EPM 2024 & EPM 2022 SU6) · NVD CVE-2024-13161 (NIST 3.1 = 7,5; CNA/Ivanti 3.1 = 9,8; CWE-36) · CISA Known Exploited Vulnerabilities Catalog (Aufnahme 10.03.2025, Frist 31.03.2025, Ransomware-Nutzung: unbekannt) · Horizon3.ai PoC-Analyse. Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Bezeichnungen gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Die ausgehende SMB-Zwangsanmeldung des EPM-Servers und die Anlage eines neuen Maschinenkontos. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • LAUFENDE LEISTUNG

    Endpoint Protection →

    Auf verwalteten Endpunkten lässt sich eine Ausnutzung nachgelagert erkennen und eingrenzen, auch wenn der Patch noch nicht überall ausgerollt ist.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.