SECURITY ADVISORY

SQL-Injection in der Ivanti Cloud Services Appliance

Ein authentifizierter Angreifer mit Admin-Rechten kann über die Admin-Web-Konsole der Cloud Services Appliance beliebige SQL-Befehle ausführen. In freier Wildbahn wird die Lücke nicht allein, sondern verkettet mit dem Admin-Bypass CVE-2024-8963 ausgenutzt – der Angreifer verschafft sich damit erst den benötigten Admin-Zugang und schreibt anschließend eigene Konten in die Datenbank, um eine Web-Shell aufzubauen.

CVE-ID

CVE-2024-9379

CVSS

7,2

Schweregrad

Hoch

Hersteller

Ivanti

Produkt

Cloud Services Appliance (CSA)

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Die Admin-Web-Konsole der CSA übergibt Eingaben aus dem Konsolen-Formular ungefiltert an die Datenbank (CWE-89). Über das Feld Lockout Attempts lässt sich hinter einem gültigen Wert ein zweiter SQL-Befehl anhängen, den die Anwendung mitverarbeitet. So kann ein Angreifer eigene Datensätze in die Tabelle user_info schreiben. Der Zugriff setzt Admin-Rechte voraus – in den beobachteten Angriffen liefert der Admin-Bypass CVE-2024-8963 genau diese Voraussetzung.

Angriffskette

  1. Admin-Bypass – über CVE-2024-8963 (Path Traversal) unautorisierten Admin-Zugang erlangen
  2. SQL-Injection – im Feld Lockout Attempts ein INSERT in die Tabelle user_info anhängen
  3. Web-Shell bauen – über wiederholte echo-Kommandos schrittweise eine persistente Shell aufbauen
  4. Zugriff – versteckte Konten, Diebstahl von Zugangsdaten, Discovery-Tools (Obelisk, GoGo) und Lateral Movement

Betroffene Versionen und Fixes

CSA-VersionVerwundbarFixversion
4.6.xPatch 518 und älter – aktiv ausgenutztkein Fix · End-of-Life → auf 5.0.x migrieren
5.0.x5.0.1 und älter5.0.2

CSA 4.6.x ist End-of-Life – der letzte Sicherheitsfix erschien am 10.09.2024, danach gibt es keine Patches mehr. Betroffene Systeme müssen auf CSA 5.0.2 (oder neuer) migriert werden; ein Update innerhalb des 4.6-Zweigs ist nicht möglich.

Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf ein Perimeter-Gateway kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • 10.09.2024 – Letzter Sicherheitsfix für CSA 4.6 – danach End-of-Life
  • September 2024 – Erste beobachtete Ausnutzung (u. a. Diebstahl von Admin-Zugangsdaten)
  • 08.10.2024 – Ivanti-Advisory zu CVE-2024-9379 / -9380 / -9381; Fix in CSA 5.0.2
  • 09.10.2024 – Aufnahme in CISA KEV · Behörden-Frist 30.10.2024
  • 22.01.2025 – CISA/FBI-Joint-Advisory AA25-022A mit Details und IoCs

Maßnahmenplan

In dieser Reihenfolge – der einzige belastbare Fix ist die Migration auf 5.0.x.

  • Sofort: Betroffenheit & Exposition prüfen
  • Kurzfristig: Auf CSA 5.0.2 migrieren
  • Parallel: Threat Hunting / IoC-Abgleich
  1. Betroffenheit feststellen
    Version der Cloud Services Appliance ermitteln: Läuft eine 4.6.x (End-of-Life) oder eine 5.0.1 bzw. älter? Ist die Admin-Web-Konsole aus dem Internet erreichbar? Genau diese Konstellation ist das Ziel der beobachteten Angriffe.
  2. Exposition reduzieren
    Bis zur Migration den Zugriff auf die Admin-Konsole strikt einschränken (nur vertrauenswürdige Management-Netze/VPN, nicht aus dem offenen Internet). Das entschärft zugleich den vorgelagerten Admin-Bypass CVE-2024-8963, der die eigentliche Voraussetzung dieser SQL-Injection liefert.
  3. Migrieren statt patchen
    Es gibt keinen Patch innerhalb von 4.6.x. Auf CSA 5.0.2 (oder neuer) migrieren. Bei Verdacht auf Kompromittierung empfiehlt Ivanti, das System neu aufzusetzen (Rebuild) statt nur zu aktualisieren.
  4. Kompromittierung ausschließen
    Auf anomale Anlage von Benutzer-/Admin-Konten prüfen und Web-/Zugriffs-Logs auf die IoCs unten abgleichen – insbesondere Aufrufe von /client/index.php%3f.php/gsb/broker.php sowie base64-kodierte Skripte, die eine Web-Shell aufzubauen versuchen. Ein Update schließt die Lücke – nicht einen bereits erfolgten Zugriff.
  5. Verkettete Lücken mitbetrachten
    Die Kampagne nutzt CVE-2024-9379 nie allein, sondern in Ketten mit CVE-2024-8963 sowie CVE-2024-8190 / CVE-2024-9380 (RCE). Alle offenen CSA-CVEs im selben Wartungsfenster schließen und Zugangsdaten nach einem möglichen Vorfall rotieren.

Kompromittierungs-Indikatoren

  • Angriffs-Endpunkte (GET/POST): /client/index.php%3f.php/gsb/broker.php
    /client/index.php%3f.php/gsb/datetime.php
  • SQL-Injection-Marker: INSERT INTO user_info(...) im Feld Lockout Attempts
    base64-kodierte echo-Kommandos → Web-Shell
  • Beobachtete Quell-IPs: 142.171.217.195 · 154.64.226.166
    216.131.75.53 · 23.236.66.97
    38.207.159.76

Zur Einordnung: Endpunkte und IPs stammen aus dem CISA/FBI-Advisory AA25-022A und sind eine Momentaufnahme der beobachteten Kampagne (September 2024). Einige IPs können auch legitimer Aktivität zugeordnet sein – vor dem Blockieren prüfen. Die Log-Aufrufe sind auffällig vor allem in Verbindung mit anomaler Konten-Anlage; sie ersetzen nicht die Analyse Ihrer eigenen Zugriffs- und Auth-Logs.

Wichtig: Erfolgreiche Ausnutzung setzt Admin-Rechte voraus – die im Feld verkettete Kombination mit dem Admin-Bypass CVE-2024-8963 macht daraus faktisch einen Angriff ohne gültige Zugangsdaten. Ein reines Update ohne Kompromittierungs-Prüfung übersieht bereits angelegte versteckte Konten.

Empfehlung für die Geschäftsleitung

  • Migration auf CSA 5.0.2 anordnen; End-of-Life-4.6.x-Systeme außer Betrieb nehmen.
  • Prüfen lassen, ob bereits ein Zugriff erfolgt ist – dokumentiert für eine etwaige Meldung.
  • Über eine dauerhafte Überwachung des Perimeters entscheiden.

Primärquellen

NVD CVE-2024-9379 · Ivanti Security Advisory (CSA CVE-2024-9379 / -9380 / -9381) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 09.10.2024) · CISA/FBI Joint Cybersecurity Advisory AA25-022A (22.01.2025). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Die anomale Anlage von Admin-Konten und base64-kodierte Web-Shell-Versuche auf der CSA. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • LAUFENDE LEISTUNG

    Managed XDR – Extended Detection and Response →

    Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.