Ein nicht authentifizierter Angreifer im selben Netzsegment kann über eine SQL-Injection im Core-Server des Ivanti Endpoint Managers beliebigen Code ausführen – ohne Login. Da EPM eine zentrale Verwaltungsinstanz für alle verwalteten Endpunkte ist, bedeutet eine Übernahme des Servers faktisch die Kontrolle über die gesamte Client-Flotte. Die Lücke wird nachweislich aktiv ausgenutzt; ein PoC ist öffentlich.
Advisory als PDF herunterladenDer Core-Server von Ivanti EPM übergibt eine über das Netz erreichbare Eingabe ungeprüft an eine SQL-Abfrage (CWE-89). Ein Angreifer kann dadurch eigene SQL-Befehle in die Datenbank einschleusen. Weil die Datenbank privilegiert läuft, lässt sich die Injection – etwa über xp_cmdshell – zur Ausführung von Betriebssystem-Befehlen auf dem Server eskalieren. Es ist keine Anmeldung erforderlich; der Angreifer muss lediglich Netzwerkzugriff auf den Core-Server im selben Segment besitzen.
| EPM-Version | Verwundbar | Fixversion |
|---|---|---|
| 2022 | ≤ 2022 SU5 | Mai-2024-Hotpatch (Core-Server) |
| frühere Zweige | alle Versionen vor 2022 SU5 | auf gepatchten/aktuellen Stand aktualisieren |
Ivanti liefert den Fix als Hotpatch für den Core-Server (Austausch mehrerer DLL-Dateien, anschließend Core-Server-Neustart bzw. IISRESET). Die exakte Build-/Hotpatch-Bezeichnung des eigenen Zweigs ist vor der Umsetzung gegen das Hersteller-Advisory abzugleichen – das Advisory bündelt zehn SQL-Injection-Korrekturen im EPM-Core-Server.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf die zentrale Endpoint-Management-Infrastruktur kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Betroffenheit prüfen, patchen, Kompromittierung ausschließen.
xp_cmdshell, unerwartete Kindprozesse des SQL-/EPM-Dienstkontos, ungewöhnliche interne Anfragen. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff.xp_cmdshell auf der EPM-SQL-Instanzcmd.exe, powershell.exe) unter dem SQL-/EPM-DienstkontoZur Einordnung: Öffentlich kursiert bislang kein belastbarer Satz an Netzwerk-IoCs (IPs/Hashes) zu dieser Kampagne. Die Erkennung stützt sich auf Datenbank- und Prozess-Telemetrie des EPM-Core-Servers – kein Ersatz für die Analyse Ihrer eigenen Logs.
Wichtig: Erfolgreiche Ausnutzung hinterlässt keinen fehlgeschlagenen Login – die Injection läuft ohne Authentifizierung. Ohne gezielte Auswertung der Datenbank- und Server-Telemetrie bleibt ein bereits erfolgter Zugriff unsichtbar.
Ivanti Security Advisory (Mai 2024, hub.ivanti.com) · NVD CVE-2024-29824 (CVSS 3.1: 8,8 HOCH; CNA/HackerOne CVSS 3.0: 9,6 kritisch) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 02.10.2024) · Horizon3.ai technische Analyse + PoC (Juni 2024). Angaben nach bestem Wissen zum Stand 14.07.2026; die exakte Hotpatch-/Fix-Bezeichnung des jeweiligen Zweigs ist gegen das Hersteller-Advisory abzugleichen (fix_verified=false). Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Die Nutzung von xp_cmdshell und anomale Prozesse unter dem EPM-Dienstkonto. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Auf verwalteten Endpunkten lässt sich eine Ausnutzung nachgelagert erkennen und eingrenzen, auch wenn der Patch noch nicht überall ausgerollt ist.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.