Ein authentifizierter Angreifer mit Administrator-Rechten in der Web-Konsole der Ivanti Cloud Services Appliance kann beliebige Betriebssystem-Befehle ausführen und das Gerät vollständig übernehmen. In freier Wildbahn wird die Lücke mit der Auth-Bypass-Schwachstelle CVE-2024-8963 verkettet – der Angreifer verschafft sich die nötigen Admin-Rechte damit selbst und braucht keine gültigen Zugangsdaten.
Advisory als PDF herunterladenDie Admin-Web-Konsole der CSA übergibt Nutzereingaben unzureichend gefiltert an einen Betriebssystem-Aufruf (CWE-78). Ein Angreifer mit Zugriff auf die Konsole kann eigene Befehle einschleusen, die das Gerät mit den Rechten des Web-Dienstes ausführt. Die eigentlich nötigen Administrator-Rechte beschafft sich der Angreifer in der beobachteten Kampagne über die vorgeschaltete Authentifizierungs-Umgehung CVE-2024-8963 – die Kette macht aus einer authentifizierten eine faktisch nicht authentifizierte Übernahme.
| CSA-Version | Verwundbar | Fixversion |
|---|---|---|
| CSA 5.0.x | 5.0.1 und älter | 5.0.2 |
| CSA 4.6 | 4.6 (Patch 518 und älter, in Ketten ausgenutzt) | EOL – Migration auf 5.0.2 |
Betroffen ist die Admin-Web-Konsole der Ivanti CSA in Version 5.0.1 und älter; behoben in 5.0.2. Die 4.6-Reihe ist End-of-Life und wurde in den beobachteten Exploit-Ketten ausgenutzt – hier ist die Migration auf 5.0.2 zwingend. Exakte Versionsstände gegen das Hersteller-Advisory abgleichen.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff über diese Kette kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Patch vor Entwarnung, Kompromittierung aktiv ausschließen.
CSA 5.0.2 aktualisieren. Die 4.6-Reihe ist End-of-Life und erhält keinen direkten Fix – hier ist die Migration auf 5.0.2 erforderlich.DateTimeTab.php (Command-Injection-Kette) sowie neu abgelegte, unbekannte PHP-Dateien im Web-VerzeichnisAA25-022AZur Einordnung: Die genannten Marker beschreiben das dokumentierte Angreifer-Verhalten aus AA25-022A; die dortige IoC-Liste (IPs, Hashes) ist maßgeblich und flüchtig. Kein Ersatz für die Analyse Ihrer eigenen Web- und Auth-Logs.
Wichtig: Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff. Da die Kette seit Oktober 2024 aktiv ausgenutzt wird und Angreifer Webshells sowie gestohlene Credentials hinterlassen, muss jede exponierte, ungepatchte CSA bis zum Beweis des Gegenteils als potenziell kompromittiert behandelt werden.
NVD CVE-2024-9380 · Ivanti Security Advisory (CVE-2024-9379/9380/9381, Fix 5.0.2) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 09.10.2024, Frist 30.10.2024) · CISA/FBI Joint Cybersecurity Advisory AA25-022A. Angaben nach bestem Wissen zum Stand 14.07.2026; Versionsstände und IoCs gegen die Hersteller- und CISA-Advisories abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Neu abgelegte Webshells, anomale ausgehende C2-Verbindungen und Konsolen-Zugriffe ohne vorherige Anmeldung. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.