Ein nicht authentifizierter Angreifer aus dem Netz kann die fehlerhaft implementierte Authentifizierung des vTM-Admin-Panels umgehen und sich selbst ein Administrator-Konto anlegen – volle Kontrolle über den Load-Balancer, ohne Passwort, ohne Nutzerinteraktion. Die Schwachstelle steht seit September 2024 auf der CISA-KEV-Liste; ein Proof-of-Concept ist öffentlich.
Advisory als PDF herunterladenDie Authentifizierung des vTM-Admin-Panels ist fehlerhaft implementiert (CWE-287 / CWE-303). Der Prüfmechanismus lässt sich umgehen, sodass ein nicht angemeldeter Angreifer eine Verwaltungsanfrage so stellt, als wäre er bereits authentifiziert – und darüber ein frei wählbares Administrator-Konto anlegt. Weder Passwort noch gültige Sitzung sind nötig; entscheidend ist allein die Erreichbarkeit der Verwaltungsoberfläche.
| vTM-Release | Verwundbar | Fixversion |
|---|---|---|
| 22.2 | < 22.2R1 | 22.2R1 |
| 22.3 | 22.3 · 22.3R2 (< 22.3R3) | 22.3R3 |
| 22.5 | 22.5R1 (< 22.5R2) | 22.5R2 |
| 22.6 | 22.6R1 (< 22.6R2) | 22.6R2 |
| 22.7 | 22.7R1 (< 22.7R2) | 22.7R2 |
Nicht betroffen sind bereits 22.2R1 und 22.7R2. Exakte Build-Ranges des eigenen Zweigs gegen das Hersteller-Advisory abgleichen. Ivanti hat die Fixes über die jeweiligen R2-/R3-Releases der Zweige ausgeliefert.
Regulatorischer Hinweis: Ein bestätigter unbefugter administrativer Zugriff kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Erreichbarkeit einschränken vor Patch, Patch vor Entwarnung.
22.2R1 · 22.3R3 · 22.5R2 · 22.6R2 · 22.7R2). Nach dem Upgrade die tatsächlich laufende Build-Version verifizieren.Administrator-Konten in der vTM-Benutzerverwaltung:9090) aus dem Internet oder außerhalb des Management-Netzesunerwarteten Quell-IPs ohne vorausgehende gültige SitzungZur Einordnung: Für diese Schwachstelle liegen keine belastbaren öffentlichen Netzwerk-IoCs (feste IPs/Hostnamen) vor. Die verlässlichste Erkennung ist der Abgleich der Konten-Liste und der Audit-Logs – ein selbst angelegtes Admin-Konto ist der aussagekräftigste Hinweis auf eine Ausnutzung.
Wichtig: Ein erfolgreicher Angriff hinterlässt ein gültiges, vom Angreifer angelegtes Administrator-Konto. Anmeldungen darüber erscheinen anschließend als reguläre Admin-Logins – ohne Alarm. Ohne Prüfung der Konten-Liste und der Audit-Logs bleibt ein bereits erfolgter Zugriff unsichtbar.
NVD (nvd.nist.gov, CVE-2024-7593, CVSS 3.1 9,8) · Ivanti Security Advisory (Virtual Traffic Manager vTM, CVE-2024-7593) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 24.09.2024). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Neu angelegte Administrator-Konten und Admin-Panel-Zugriffe aus fremden Netzen. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
PROJEKT
Management-Oberflächen sind wiederkehrend betroffen. Ein Test zeigt, welche davon bei Ihnen erreichbar sind, bevor es jemand anderes herausfindet.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.