SECURITY ADVISORY

Unauthentifizierte SQL-Injection → RCE in Ivanti Endpoint Manager

Ein nicht authentifizierter Angreifer im selben Netzsegment kann über eine SQL-Injection im Core-Server des Ivanti Endpoint Managers beliebigen Code ausführen – ohne Login. Da EPM eine zentrale Verwaltungsinstanz für alle verwalteten Endpunkte ist, bedeutet eine Übernahme des Servers faktisch die Kontrolle über die gesamte Client-Flotte. Die Lücke wird nachweislich aktiv ausgenutzt; ein PoC ist öffentlich.

CVE-ID

CVE-2024-29824

CVSS

8,8

Schweregrad

Hoch

Hersteller

Ivanti

Produkt

Ivanti Endpoint Manager (EPM)

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Der Core-Server von Ivanti EPM übergibt eine über das Netz erreichbare Eingabe ungeprüft an eine SQL-Abfrage (CWE-89). Ein Angreifer kann dadurch eigene SQL-Befehle in die Datenbank einschleusen. Weil die Datenbank privilegiert läuft, lässt sich die Injection – etwa über xp_cmdshell – zur Ausführung von Betriebssystem-Befehlen auf dem Server eskalieren. Es ist keine Anmeldung erforderlich; der Angreifer muss lediglich Netzwerkzugriff auf den Core-Server im selben Segment besitzen.

Angriffskette

  1. Netzzugang – Angreifer erreicht den EPM-Core-Server im selben Netzsegment (kein Login nötig)
  2. SQL-Injection – manipulierte Anfrage schleust eigene SQL-Befehle in die Core-Datenbank ein
  3. Code-Ausführung – über die privilegierte Datenbank (z. B. xp_cmdshell) Befehle als Dienstkonto
  4. Flotten-Übernahme – der EPM-Server steuert alle verwalteten Endpunkte → flächendeckende Kontrolle

Betroffene Versionen und Fixes

EPM-VersionVerwundbarFixversion
2022≤ 2022 SU5Mai-2024-Hotpatch (Core-Server)
frühere Zweigealle Versionen vor 2022 SU5auf gepatchten/aktuellen Stand aktualisieren

Ivanti liefert den Fix als Hotpatch für den Core-Server (Austausch mehrerer DLL-Dateien, anschließend Core-Server-Neustart bzw. IISRESET). Die exakte Build-/Hotpatch-Bezeichnung des eigenen Zweigs ist vor der Umsetzung gegen das Hersteller-Advisory abzugleichen – das Advisory bündelt zehn SQL-Injection-Korrekturen im EPM-Core-Server.

Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf die zentrale Endpoint-Management-Infrastruktur kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • Mai 2024 – Ivanti veröffentlicht Advisory + Hotpatch (zehn SQLi-Fixes im Core-Server)
  • Juni 2024 – Horizon3.ai veröffentlicht technische Analyse + PoC-Exploit
  • 01.10.2024 – Ivanti bestätigt aktive Ausnutzung ("limited number of customers")
  • 02.10.2024 – Aufnahme in CISA KEV · Frist für US-Bundesbehörden: 23.10.2024

Maßnahmenplan

In dieser Reihenfolge – Betroffenheit prüfen, patchen, Kompromittierung ausschließen.

  • Sofort: Hotpatch einspielen
  • Parallel: Zugriff auf Core-Server einschränken
  • Danach: Threat Hunting / Log-Analyse
  1. Betroffenheit feststellen
    Inventarisieren, welche Ivanti-EPM-Core-Server im Einsatz sind und auf welchem Stand. Alle Versionen bis einschließlich 2022 SU5 sind angreifbar. Prüfen, aus welchen Netzsegmenten der Core-Server erreichbar ist – der Angriff erfolgt aus dem angrenzenden Netz, nicht zwingend aus dem Internet.
  2. Hotpatch einspielen
    Den von Ivanti bereitgestellten Mai-2024-Hotpatch auf dem Core-Server anwenden (Austausch der betroffenen DLL-Dateien, anschließend Core-Server-Neustart bzw. IISRESET). Exakte Hotpatch-/Build-Bezeichnung des eigenen Zweigs vorab im Hersteller-Advisory verifizieren.
  3. Angriffsfläche verkleinern
    Netzwerkzugriff auf den EPM-Core-Server strikt auf notwendige Verwaltungssegmente begrenzen (Segmentierung/Firewall). Da AV:A – der Angreifer muss im selben Netz stehen –, senkt eine konsequente Segmentierung das Risiko deutlich.
  4. Kompromittierung ausschließen
    Datenbank- und Betriebssystem-Telemetrie des Core-Servers auf Anzeichen der Ausnutzung prüfen: aktivierte/genutzte xp_cmdshell, unerwartete Kindprozesse des SQL-/EPM-Dienstkontos, ungewöhnliche interne Anfragen. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.
  5. Nachsorge
    Bei Verdacht auf Kompromittierung den Vorfall dokumentieren und den Incident-Response-Prozess auslösen. Zugangsdaten/Dienstkonten des EPM-Servers rotieren und die Wirksamkeit der Segmentierung dauerhaft überwachen.

Kompromittierungs-Indikatoren

  • Datenbank-Aktivität: Aktivierung oder Nutzung von xp_cmdshell auf der EPM-SQL-Instanz
  • Prozess-Anomalien: Unerwartete Kindprozesse (cmd.exe, powershell.exe) unter dem SQL-/EPM-Dienstkonto
  • Zugriffsmuster: Auffällige, unauthentifizierte Anfragen an den Core-Server aus dem internen Netz

Zur Einordnung: Öffentlich kursiert bislang kein belastbarer Satz an Netzwerk-IoCs (IPs/Hashes) zu dieser Kampagne. Die Erkennung stützt sich auf Datenbank- und Prozess-Telemetrie des EPM-Core-Servers – kein Ersatz für die Analyse Ihrer eigenen Logs.

Wichtig: Erfolgreiche Ausnutzung hinterlässt keinen fehlgeschlagenen Login – die Injection läuft ohne Authentifizierung. Ohne gezielte Auswertung der Datenbank- und Server-Telemetrie bleibt ein bereits erfolgter Zugriff unsichtbar.

Empfehlung für die Geschäftsleitung

  • Hotpatch für alle EPM-Core-Server sofort anordnen, Umsetzung dokumentieren.
  • Netzwerkzugriff auf die EPM-Verwaltungsserver einschränken lassen (Segmentierung).
  • Prüfen lassen, ob bereits ein Zugriff erfolgt ist – dokumentiert für eine etwaige Meldung.

Primärquellen

Ivanti Security Advisory (Mai 2024, hub.ivanti.com) · NVD CVE-2024-29824 (CVSS 3.1: 8,8 HOCH; CNA/HackerOne CVSS 3.0: 9,6 kritisch) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 02.10.2024) · Horizon3.ai technische Analyse + PoC (Juni 2024). Angaben nach bestem Wissen zum Stand 14.07.2026; die exakte Hotpatch-/Fix-Bezeichnung des jeweiligen Zweigs ist gegen das Hersteller-Advisory abzugleichen (fix_verified=false). Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Die Nutzung von xp_cmdshell und anomale Prozesse unter dem EPM-Dienstkonto. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • LAUFENDE LEISTUNG

    Endpoint Protection →

    Auf verwalteten Endpunkten lässt sich eine Ausnutzung nachgelagert erkennen und eingrenzen, auch wenn der Patch noch nicht überall ausgerollt ist.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.