Ein Angreifer mit Admin-Rechten der CSA-Verwaltungskonsole kann über eine OS-Command-Injection beliebige Betriebssystem-Befehle auf der Appliance ausführen. In der beobachteten Angriffswelle wurde die Lücke mit der Auth-Bypass-Schwachstelle CVE-2024-8963 verkettet – so wird aus der Admin-Voraussetzung ein nicht authentifizierter Fernzugriff bis zur Codeausführung. CSA 4.6.x ist End-of-Life.
Advisory als PDF herunterladenDie Verwaltungskonsole der CSA übergibt Eingabewerte ungeprüft an einen Betriebssystem-Aufruf (CWE-78). Ein an der Appliance angemeldeter Administrator kann so eigene Befehle einschleusen und mit den Rechten des Web-Dienstes ausführen. Für sich genommen verlangt die Lücke Admin-Rechte (PR:H) – in der realen Ausnutzung wird sie jedoch mit dem Path-Traversal- bzw. Auth-Bypass CVE-2024-8963 verkettet, der diese Hürde entfernt.
CVE-2024-8963 verschafft Zugang zu Admin-FunktionenCVE-2024-8190 führt Code auf der Appliance aus| CSA-Version | Verwundbar | Fixversion |
|---|---|---|
| CSA 4.6 | ≤ 4.6 Patch 518 | 4.6 Patch 519 |
| CSA 5.0.x | nicht betroffen | — |
CSA 4.6.x hat den End-of-Life-Status erreicht: Patch 519 ist der letzte Fix für diesen Zweig, künftige Lücken erhalten voraussichtlich keine Updates mehr. Ivanti und CISA empfehlen, 4.6.x außer Betrieb zu nehmen oder auf die supportete 5.0.x-Linie zu migrieren. Exakte Build-Angaben gegen das Hersteller-Advisory abgleichen.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff oder eine Webshell auf der Appliance kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Exposition zuerst schließen, dann patchen oder migrieren.
4.6 Patch 518.CVE-2024-8963 zum unauthentifizierten Zugriff verkettet wird, ist die Reduktion der Erreichbarkeit die wirksamste Sofortmaßnahme.4.6 Patch 519 aktualisieren. Da CSA 4.6.x End-of-Life ist, sollte parallel die Migration auf die supportete 5.0.x-Linie geplant werden – 5.0.x ist von dieser Schwachstelle nicht betroffen.CVE-2024-8963 (Auth-Bypass) sowie die zeitgleich gemeldeten CVE-2024-9379 / CVE-2024-9380 berücksichtigen – Patch 519 adressiert die Kernkette. Herstellerangaben zum jeweiligen Zweig maßgeblich.CVE-2024-8963Zur Einordnung: Die Angaben beschreiben das Angriffsmuster der beobachteten Kampagne (CISA/FBI AA25-022A) und sind kein Ersatz für die forensische Analyse der Appliance und ihrer Logs. Konkrete Datei-Pfade, Hashes und IPs bitte dem aktuellen CISA-Advisory und Ihren eigenen Protokollen entnehmen.
Wichtig: Für sich genommen setzt die Lücke Admin-Rechte voraus – in der Praxis wurde sie jedoch als Zero-Day mit einem Auth-Bypass verkettet und für unauthentifizierten Fernzugriff genutzt. Ein Patch schließt die Lücke, entfernt aber keine bereits abgelegte Webshell.
NVD CVE-2024-8190 (CVSS 3.1 7,2, Vektor, betroffene/Fix-Versionen) · Ivanti Security Advisory Cloud Services Appliance (CSA) CVE-2024-8190 · CISA Known Exploited Vulnerabilities Catalog (Aufnahme 13.09.2024, Frist 04.10.2024) · CISA/FBI Joint Cybersecurity Advisory AA25-022A (Exploit-Ketten). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Anomale Befehlsausführung auf der Appliance und neu angelegte Admin-Konten oder Webshells. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.