SECURITY ADVISORY

OS-Command-Injection in Ivanti Cloud Services Appliance

Ein Angreifer mit Admin-Rechten der CSA-Verwaltungskonsole kann über eine OS-Command-Injection beliebige Betriebssystem-Befehle auf der Appliance ausführen. In der beobachteten Angriffswelle wurde die Lücke mit der Auth-Bypass-Schwachstelle CVE-2024-8963 verkettet – so wird aus der Admin-Voraussetzung ein nicht authentifizierter Fernzugriff bis zur Codeausführung. CSA 4.6.x ist End-of-Life.

CVE-ID

CVE-2024-8190

CVSS

7,2

Schweregrad

Hoch

Hersteller

Ivanti

Produkt

Cloud Services Appliance (CSA)

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Die Verwaltungskonsole der CSA übergibt Eingabewerte ungeprüft an einen Betriebssystem-Aufruf (CWE-78). Ein an der Appliance angemeldeter Administrator kann so eigene Befehle einschleusen und mit den Rechten des Web-Dienstes ausführen. Für sich genommen verlangt die Lücke Admin-Rechte (PR:H) – in der realen Ausnutzung wird sie jedoch mit dem Path-Traversal- bzw. Auth-Bypass CVE-2024-8963 verkettet, der diese Hürde entfernt.

Angriffskette

  1. Konsole erreichbar – CSA-Verwaltungsoberfläche aus dem Netz exponiert
  2. Auth umgehen – Path Traversal CVE-2024-8963 verschafft Zugang zu Admin-Funktionen
  3. Befehl einschleusen – OS-Command-Injection CVE-2024-8190 führt Code auf der Appliance aus
  4. Persistenz – Webshell abgelegt, Zugangsdaten abgegriffen, Konten manipuliert

Betroffene Versionen und Fixes

CSA-VersionVerwundbarFixversion
CSA 4.6≤ 4.6 Patch 5184.6 Patch 519
CSA 5.0.xnicht betroffen

CSA 4.6.x hat den End-of-Life-Status erreicht: Patch 519 ist der letzte Fix für diesen Zweig, künftige Lücken erhalten voraussichtlich keine Updates mehr. Ivanti und CISA empfehlen, 4.6.x außer Betrieb zu nehmen oder auf die supportete 5.0.x-Linie zu migrieren. Exakte Build-Angaben gegen das Hersteller-Advisory abgleichen.

Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff oder eine Webshell auf der Appliance kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • 10.09.2024 – Ivanti veröffentlicht Advisory + Patch 519
  • 13.09.2024 – CISA KEV · Ivanti bestätigt begrenzte Ausnutzung
  • 16.09.2024 – Öffentliches Exploit-Skript / PoC verfügbar
  • 19.09.2024 – CVE-2024-8963 (Auth-Bypass) gemeldet – Kette für unauth. RCE
  • 22.01.2025 – CISA/FBI Joint Advisory AA25-022A zu Exploit-Ketten

Maßnahmenplan

In dieser Reihenfolge – Exposition zuerst schließen, dann patchen oder migrieren.

  • Sofort: Konsole vom Internet trennen
  • Kurzfristig: Patch 519 bzw. Migration 5.0.x
  • Parallel: Threat Hunting / Kompromittierung prüfen
  1. Betroffenheit feststellen
    Prüfen, ob eine Ivanti CSA 4.6.x im Einsatz ist und ob die Verwaltungskonsole aus dem Internet erreichbar ist. Version und Patch-Stand ermitteln – angreifbar sind alle Builds bis einschließlich 4.6 Patch 518.
  2. Exposition sofort reduzieren
    Den Zugriff auf die Verwaltungskonsole vom Internet abtrennen bzw. auf vertrauenswürdige Management-Netze einschränken. Da die Lücke mit CVE-2024-8963 zum unauthentifizierten Zugriff verkettet wird, ist die Reduktion der Erreichbarkeit die wirksamste Sofortmaßnahme.
  3. Patchen oder migrieren
    Auf 4.6 Patch 519 aktualisieren. Da CSA 4.6.x End-of-Life ist, sollte parallel die Migration auf die supportete 5.0.x-Linie geplant werden – 5.0.x ist von dieser Schwachstelle nicht betroffen.
  4. Kompromittierung ausschließen
    Nach dem Patch verbleibt das Risiko eines bereits erfolgten Zugriffs. Appliance auf Webshells, unbekannte Admin-Konten und anomale Befehlsausführung untersuchen; Logs der Konsole und der unten genannten Endpunkte prüfen. Bei Verdacht: Appliance als kompromittiert behandeln, neu aufsetzen und Zugangsdaten rotieren.
  5. Verkettete Lücken mitbehandeln
    Im selben Wartungsfenster auch CVE-2024-8963 (Auth-Bypass) sowie die zeitgleich gemeldeten CVE-2024-9379 / CVE-2024-9380 berücksichtigen – Patch 519 adressiert die Kernkette. Herstellerangaben zum jeweiligen Zweig maßgeblich.

Kompromittierungs-Indikatoren

  • Einschleusungs-Vektor: OS-Command-Injection über die
    DateTime-/TIMEZONE-Funktion der Admin-Konsole
  • Verkettete Lücke: Path Traversal CVE-2024-8963
    (Auth-Bypass zu Admin-Funktionen)
  • Nachlauf-Aktivität: neu abgelegte Webshells · unbekannte
    Admin-Konten · anomale Befehlsausführung

Zur Einordnung: Die Angaben beschreiben das Angriffsmuster der beobachteten Kampagne (CISA/FBI AA25-022A) und sind kein Ersatz für die forensische Analyse der Appliance und ihrer Logs. Konkrete Datei-Pfade, Hashes und IPs bitte dem aktuellen CISA-Advisory und Ihren eigenen Protokollen entnehmen.

Wichtig: Für sich genommen setzt die Lücke Admin-Rechte voraus – in der Praxis wurde sie jedoch als Zero-Day mit einem Auth-Bypass verkettet und für unauthentifizierten Fernzugriff genutzt. Ein Patch schließt die Lücke, entfernt aber keine bereits abgelegte Webshell.

Empfehlung für die Geschäftsleitung

  • Erreichbarkeit der CSA-Konsole heute prüfen und einschränken, Patch 519 kurzfristig einspielen.
  • Migration von der End-of-Life-Version 4.6.x auf die supportete 5.0.x-Linie beschließen.
  • Prüfen lassen, ob bereits ein Zugriff erfolgt ist – dokumentiert für eine etwaige Meldung.

Primärquellen

NVD CVE-2024-8190 (CVSS 3.1 7,2, Vektor, betroffene/Fix-Versionen) · Ivanti Security Advisory Cloud Services Appliance (CSA) CVE-2024-8190 · CISA Known Exploited Vulnerabilities Catalog (Aufnahme 13.09.2024, Frist 04.10.2024) · CISA/FBI Joint Cybersecurity Advisory AA25-022A (Exploit-Ketten). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale Befehlsausführung auf der Appliance und neu angelegte Admin-Konten oder Webshells. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • LAUFENDE LEISTUNG

    Managed XDR – Extended Detection and Response →

    Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.