In den Web-Komponenten von Ivanti Connect Secure und Policy Secure kann ein Angreifer über präparierte Anfragen beliebige Betriebssystem-Befehle auf dem Gateway ausführen. Verkettet mit dem Authentifizierungs-Bypass CVE-2023-46805 wird daraus eine unauthentifizierte Remote-Code-Ausführung – ohne Zugangsdaten, direkt aus dem Internet. Die Lücke wird seit Ende 2023 aktiv und massenhaft ausgenutzt.
Advisory als PDF herunterladenDie Web-Komponenten der Gateways übergeben Teile eingehender Anfragen ungeprüft an OS-Befehle (CWE-77, Command Injection). Ein authentifizierter Administrator kann so beliebige Kommandos auf der Appliance ausführen. Der zweite Baustein – der Authentifizierungs-Bypass CVE-2023-46805 per Directory-Traversal – hebelt die Anmeldepflicht aus. In Kombination ruft ein völlig unauthentifizierter Angreifer die verwundbare API direkt auf und erreicht Code-Ausführung mit den Rechten des Gateways.
| Produkt / Zweig | Verwundbar | Fixversion |
|---|---|---|
| Connect Secure 9.1 | alle 9.x vor Fix | 9.1R14.4 / 9.1R17.2 / 9.1R18.3 |
| Connect Secure 22.x | 22.1–22.6 vor Fix | 22.4R2.2 / 22.5R1.1 / 22.5R2.2 |
| Policy Secure 9.x / 22.x | alle unterstützten Versionen | Patch je Zweig (ab 31.01.2024) |
| Interim (vor Patch) | alle Versionen | mitigation.release.20240107.1.xml |
Betroffen sind laut Hersteller alle unterstützten Versionen (9.x und 22.x) beider Produkte. Ivanti gab die Fixes gestaffelt ab dem 31.01.2024 frei; nicht jeder Zweig erhielt sein Patch gleichzeitig. Exakten Fix-Build gegen das Hersteller-Advisory des eigenen Zweigs abgleichen. Wichtig: Der spätere Patch behebt die Lücke, entfernt aber keine bereits platzierten Webshells – vor der Wiederinbetriebnahme Werksreset und Integrity Checker Tool (ICT) einsetzen.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff über das Gateway ist regelmäßig ein meldepflichtiger Vorfall – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Mitigation vor Patch, Kompromittierungs-Prüfung vor Entwarnung.
import mitigation.release.20240107.1.xml9.1R14.4 · 9.1R17.2 · 9.1R18.3 · 22.4R2.2 · 22.5R1.1 · 22.5R2.2)./api/v1/totp/user-backup-code/../../license/keys-status/<cmd>WIREFIRE, GIFTEDVISITOR, LIGHTWIREWARPWIRE/home/webserver/htdocscompcheck.cgi / visits.pyZur Einordnung: Die Angreifer haben die Interim-Mitigation umgangen und das Integrity Checker Tool teils getäuscht; Malware-Namen und Pfade sind eine Momentaufnahme der beobachteten Kampagnen und flüchtig. Ein sauberes ICT-Ergebnis ersetzt keine gründliche forensische Analyse – im Zweifel Werksreset vor Wiederinbetriebnahme.
Wichtig: Ein reiner Patch genügt nicht: Wer vor dem Update kompromittiert wurde, behält die Webshells auch nach dem Einspielen. Ivanti und CISA empfehlen ausdrücklich Werksreset und Credential-Rotation vor der Wiederinbetriebnahme.
Ivanti Security Advisory (Forums-KB CVE-2023-46805 / CVE-2024-21887) · NVD (CVE-2024-21887, CVSS 3.1 9,1) · CISA KEV (hinzugefügt 10.01.2024, Frist 22.01.2024) · CISA Alert & Emergency Directive ED 24-01 · Volexity- und Mandiant-Analysen · Unit 42 Threat Brief · Tenable / Rapid7 Berichte. Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Traversal-Anfragen an die Lizenz-/TOTP-API und neue Dateien in den Web-Verzeichnissen des Gateways. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.