SECURITY ADVISORY

Unauthentifizierte SSRF im SAML-Modul von Ivanti Connect Secure

Ein nicht authentifizierter Angreifer aus dem Internet kann über die SAML-Komponente serverseitige Anfragen erzwingen (SSRF) und so auf abgeschottete interne Dienste zugreifen. In der Praxis wird die Lücke mit der Command-Injection CVE-2024-21887 verkettet – das Ergebnis ist unauthentifizierte Codeausführung auf der Appliance. Die Ausnutzung läuft seit Ende Januar 2024.

CVE-ID

CVE-2024-21893

CVSS

8,2

Schweregrad

Hoch

Hersteller

Ivanti

Produkt

Connect Secure / Policy Secure / Neurons for ZTA

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Die SAML-Komponente von Connect Secure, Policy Secure und Neurons for ZTA verarbeitet eingehende SOAP-/XML-Nachrichten mit einer verwundbaren xmltooling-Bibliothek. Über präparierte KeyInfo-Elemente mit einer RetrievalMethod-URI lässt sich der Server dazu bringen, beliebige serverseitige Anfragen auszuführen (Server-Side Request Forgery, CWE-918). Da hierfür keine Authentifizierung nötig ist, erreicht ein Angreifer interne Dienste, die von außen eigentlich nicht erreichbar sind.

Angriffskette

  1. Portal exponiert – Connect/Policy Secure ist aus dem Internet erreichbar
  2. SSRF auslösen – präparierte SOAP-/SAML-Nachricht an den SAML-Endpunkt senden
  3. Verketten – interne API über die SSRF mit CVE-2024-21887 (Command Injection) ansteuern
  4. RCE – unauthentifizierte Codeausführung auf der Appliance

Betroffene Versionen und Fixes

Produkt / ZweigVerwundbarFixversion
Connect Secure 9.1R< 9.1R14.4 / 9.1R17.2 / 9.1R18.39.1R14.4 · 9.1R17.2 · 9.1R18.3
Connect Secure 22.x< 22.4R2.2 / 22.5R1.1 / 22.5R2.222.4R2.2 · 22.5R1.1 · 22.5R2.2
Policy Secure 22.x< 22.5R1.122.5R1.1
Neurons for ZTA< 22.6R1.322.6R1.3

Betroffen sind alle unterstützten 9.x- und 22.x-Zweige von Connect Secure und Policy Secure sowie Neurons for ZTA. Exakte Build-Ranges gegen das Hersteller-Advisory des eigenen Zweigs abgleichen – Ivanti hat die Fixes gestaffelt über mehrere Release-Züge ausgeliefert.

Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff oder eine RCE auf dem Gateway kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • 31.01.2024 – Ivanti veröffentlicht Advisory (CVE-2024-21888 & CVE-2024-21893) + Patches
  • 31.01.2024 – CISA nimmt die Lücke in den KEV-Katalog auf (Frist Behörden: 02.02.2024)
  • Anf. Feb. 2024 – Ivanti & Mandiant bestätigen aktive Ausnutzung – SSRF umgeht frühere Mitigation
  • Seither – Öffentliche PoCs; Verkettung mit CVE-2024-21887 zu unauth. RCE

Maßnahmenplan

In dieser Reihenfolge – Mitigation vor Patch, Patch vor Entwarnung.

  • Sofort: Mitigation aktivieren
  • Kurzfristig: Patch einspielen
  • Parallel: Integritätsprüfung & Threat Hunting
  1. Betroffenheit feststellen
    Prüfen, welche Ivanti-Appliances (Connect Secure, Policy Secure, Neurons for ZTA) aus dem Internet erreichbar sind und auf welchem Release-Zweig sie laufen. Alle nicht auf einer Fixversion befindlichen Instanzen sind angreifbar.
  2. Sofort mitigieren (vor dem Patch)
    Sofern noch nicht gepatcht werden kann, die von Ivanti bereitgestellte Mitigation (Import der Hersteller-Mitigation-XML über das Admin-Portal) einspielen. Wird SAML nicht benötigt, die betroffene Komponente entsprechend einschränken. Die Mitigation ist ein Behelf – kein Ersatz für den Patch.
  3. Patchen
    Auf die Fixversion des eigenen Zweigs aktualisieren (Connect Secure 9.1R14.4 · 9.1R17.2 · 9.1R18.3 · 22.4R2.2 · 22.5R1.1 · 22.5R2.2; Policy Secure 22.5R1.1; ZTA 22.6R1.3). Die Fixversion schließt CVE-2024-21893 zusammen mit den weiteren Ivanti-Lücken dieser Welle.
  4. Kompromittierung ausschließen
    Nach dem Patch einen Factory Reset gemäß Ivanti-Empfehlung erwägen und den Ivanti Integrity Checker Tool (ICT) laufen lassen. Auth- und Web-Logs auf Zugriffe auf die SAML-/interne-API-Endpunkte aus unerwarteten Quellen durchsuchen. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.
  5. Perimeter dauerhaft überwachen
    Herstellerseitige IPS-/Threat-Prevention-Signaturen für diese Schwachstelle einspielen, sofern verfügbar. Exponierte VPN-Gateways kontinuierlich auf anomale Zugriffe und Integritätsverletzungen überwachen.

Kompromittierungs-Indikatoren

  • SSRF-Endpunkt (SAML): /dana-ws/saml20.ws
  • Verkettetes Ziel (RCE): Command-Injection über CVE-2024-21887
    interne API-Aufrufe wie /api/v1/license/keys-status
  • Integritätsprüfung: Abweichungen im Ivanti Integrity Checker Tool (ICT)
    unerwartete Ausgänge / neue Dateien auf der Appliance

Zur Einordnung: Die genannten Endpunkte sind reguläre Bestandteile der Appliance – auffällig nur in Verbindung mit unauthentifizierten Zugriffen aus fremden Quellen. Belastbare, veröffentlichte Angreifer-IPs für genau diese Schwachstelle liegen nicht in gesicherter Form vor; maßgeblich sind die Analyse Ihrer eigenen Web-/Auth-Logs und das Ergebnis des Ivanti Integrity Checker Tool.

Wichtig: Die SSRF selbst hinterlässt kaum auffällige Spuren – gefährlich wird sie durch die Verkettung mit CVE-2024-21887 zur RCE. Angreifer haben zudem gezeigt, dass sie frühere Mitigations umgehen konnten; nur der Patch (plus Integritätsprüfung) gibt belastbare Sicherheit.

Empfehlung für die Geschäftsleitung

  • Mitigation heute anordnen, Patch kurzfristig einspielen – exponierte Gateways zuerst.
  • Prüfen lassen, ob bereits ein Zugriff erfolgt ist (ICT + Log-Analyse), dokumentiert für eine etwaige Meldung.
  • Über eine dauerhafte Überwachung des Perimeters entscheiden.

Primärquellen

NVD (CVE-2024-21893, CVSS 3.1 8,2) · Ivanti Security Advisory / Security Update Blog · Rapid7 Analysis · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 31.01.2024). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Unauthentifizierte Zugriffe auf die SAML-/interne-API-Endpunkte und ICT-Integritätswarnungen. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • LAUFENDE LEISTUNG

    Managed XDR – Extended Detection and Response →

    Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.