Ein nicht authentifizierter Angreifer aus dem Internet kann über die SAML-Komponente serverseitige Anfragen erzwingen (SSRF) und so auf abgeschottete interne Dienste zugreifen. In der Praxis wird die Lücke mit der Command-Injection CVE-2024-21887 verkettet – das Ergebnis ist unauthentifizierte Codeausführung auf der Appliance. Die Ausnutzung läuft seit Ende Januar 2024.
Advisory als PDF herunterladenDie SAML-Komponente von Connect Secure, Policy Secure und Neurons for ZTA verarbeitet eingehende SOAP-/XML-Nachrichten mit einer verwundbaren xmltooling-Bibliothek. Über präparierte KeyInfo-Elemente mit einer RetrievalMethod-URI lässt sich der Server dazu bringen, beliebige serverseitige Anfragen auszuführen (Server-Side Request Forgery, CWE-918). Da hierfür keine Authentifizierung nötig ist, erreicht ein Angreifer interne Dienste, die von außen eigentlich nicht erreichbar sind.
| Produkt / Zweig | Verwundbar | Fixversion |
|---|---|---|
| Connect Secure 9.1R | < 9.1R14.4 / 9.1R17.2 / 9.1R18.3 | 9.1R14.4 · 9.1R17.2 · 9.1R18.3 |
| Connect Secure 22.x | < 22.4R2.2 / 22.5R1.1 / 22.5R2.2 | 22.4R2.2 · 22.5R1.1 · 22.5R2.2 |
| Policy Secure 22.x | < 22.5R1.1 | 22.5R1.1 |
| Neurons for ZTA | < 22.6R1.3 | 22.6R1.3 |
Betroffen sind alle unterstützten 9.x- und 22.x-Zweige von Connect Secure und Policy Secure sowie Neurons for ZTA. Exakte Build-Ranges gegen das Hersteller-Advisory des eigenen Zweigs abgleichen – Ivanti hat die Fixes gestaffelt über mehrere Release-Züge ausgeliefert.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff oder eine RCE auf dem Gateway kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Mitigation vor Patch, Patch vor Entwarnung.
Connect Secure 9.1R14.4 · 9.1R17.2 · 9.1R18.3 · 22.4R2.2 · 22.5R1.1 · 22.5R2.2; Policy Secure 22.5R1.1; ZTA 22.6R1.3). Die Fixversion schließt CVE-2024-21893 zusammen mit den weiteren Ivanti-Lücken dieser Welle./dana-ws/saml20.wsCVE-2024-21887/api/v1/license/keys-statusIntegrity Checker Tool (ICT)Zur Einordnung: Die genannten Endpunkte sind reguläre Bestandteile der Appliance – auffällig nur in Verbindung mit unauthentifizierten Zugriffen aus fremden Quellen. Belastbare, veröffentlichte Angreifer-IPs für genau diese Schwachstelle liegen nicht in gesicherter Form vor; maßgeblich sind die Analyse Ihrer eigenen Web-/Auth-Logs und das Ergebnis des Ivanti Integrity Checker Tool.
Wichtig: Die SSRF selbst hinterlässt kaum auffällige Spuren – gefährlich wird sie durch die Verkettung mit CVE-2024-21887 zur RCE. Angreifer haben zudem gezeigt, dass sie frühere Mitigations umgehen konnten; nur der Patch (plus Integritätsprüfung) gibt belastbare Sicherheit.
NVD (CVE-2024-21893, CVSS 3.1 8,2) · Ivanti Security Advisory / Security Update Blog · Rapid7 Analysis · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 31.01.2024). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Unauthentifizierte Zugriffe auf die SAML-/interne-API-Endpunkte und ICT-Integritätswarnungen. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.