SECURITY ADVISORY

OS-Command-Injection in Ivanti Cloud Services Appliance

Ein authentifizierter Angreifer mit Administrator-Rechten in der Web-Konsole der Ivanti Cloud Services Appliance kann beliebige Betriebssystem-Befehle ausführen und das Gerät vollständig übernehmen. In freier Wildbahn wird die Lücke mit der Auth-Bypass-Schwachstelle CVE-2024-8963 verkettet – der Angreifer verschafft sich die nötigen Admin-Rechte damit selbst und braucht keine gültigen Zugangsdaten.

CVE-ID

CVE-2024-9380

CVSS

7,2

Schweregrad

Hoch

Hersteller

Ivanti

Produkt

Cloud Services Appliance (CSA)

Veröffentlicht

14.07.2026

CISA-KEV

Gelistet

Advisory als PDF herunterladen

Analyse

Warum die Lücke wirkt

Die Admin-Web-Konsole der CSA übergibt Nutzereingaben unzureichend gefiltert an einen Betriebssystem-Aufruf (CWE-78). Ein Angreifer mit Zugriff auf die Konsole kann eigene Befehle einschleusen, die das Gerät mit den Rechten des Web-Dienstes ausführt. Die eigentlich nötigen Administrator-Rechte beschafft sich der Angreifer in der beobachteten Kampagne über die vorgeschaltete Authentifizierungs-Umgehung CVE-2024-8963 – die Kette macht aus einer authentifizierten eine faktisch nicht authentifizierte Übernahme.

Angriffskette

  1. Auth-Bypass – Zugriff auf die Admin-Konsole ohne gültige Anmeldung über CVE-2024-8963
  2. Command Injection – beliebige OS-Befehle über die Konsole (CVE-2024-9380, ggf. mit CVE-2024-8190)
  3. Webshell & Credential-Diebstahl – Persistenz und base64-kodierte Skripte zum Auslesen verschlüsselter Admin-Zugangsdaten
  4. Ausbreitung & Spurenverwischung – Reverse-TCP-C2, Lateral Movement, Entfernen der Webshells

Betroffene Versionen und Fixes

CSA-VersionVerwundbarFixversion
CSA 5.0.x5.0.1 und älter5.0.2
CSA 4.64.6 (Patch 518 und älter, in Ketten ausgenutzt)EOL – Migration auf 5.0.2

Betroffen ist die Admin-Web-Konsole der Ivanti CSA in Version 5.0.1 und älter; behoben in 5.0.2. Die 4.6-Reihe ist End-of-Life und wurde in den beobachteten Exploit-Ketten ausgenutzt – hier ist die Migration auf 5.0.2 zwingend. Exakte Versionsstände gegen das Hersteller-Advisory abgleichen.

Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff über diese Kette kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.

Chronologie

  • Sep 2024 – Erste CSA-Zero-Day-Angriffe (CVE-2024-8190 / 8963)
  • 08.10.2024 – Ivanti-Advisory für CVE-2024-9379/9380/9381 · Fix 5.0.2
  • 09.10.2024 – CISA KEV – aktiv ausgenutzt · Frist 30.10.2024
  • 22.01.2025 – CISA/FBI Joint Advisory AA25-022A – Exploit-Ketten & IoCs

Maßnahmenplan

In dieser Reihenfolge – Patch vor Entwarnung, Kompromittierung aktiv ausschließen.

  • Sofort: Auf 5.0.2 patchen / 4.6 migrieren
  • Parallel: Threat Hunting / IoC-Abgleich
  • Danach: Zugangsdaten rotieren
  1. Betroffenheit feststellen
    CSA-Versionsstand prüfen: Ist eine Appliance in 5.0.1 oder älter bzw. in der 4.6-Reihe im Einsatz und aus dem Internet erreichbar? Genau diese Konstellation ist Ziel der aktiven Kampagne.
  2. Patchen bzw. migrieren
    Auf CSA 5.0.2 aktualisieren. Die 4.6-Reihe ist End-of-Life und erhält keinen direkten Fix – hier ist die Migration auf 5.0.2 erforderlich.
  3. Kompromittierung ausschließen
    Da die Lücke seit Oktober 2024 aktiv verkettet ausgenutzt wird, ist ein reines Patchen nicht ausreichend. Web-Verzeichnisse auf hinterlegte Webshells, ungewöhnliche PHP-Dateien und base64-kodierte Skripte prüfen sowie die IoCs aus CISA AA25-022A abgleichen.
  4. Zugangsdaten rotieren
    Bei Verdacht auf Kompromittierung alle auf der Appliance hinterlegten Administrator- und Dienst-Zugangsdaten als offengelegt behandeln und rotieren – die Angreifer haben nachweislich verschlüsselte Admin-Credentials ausgelesen.
  5. Perimeter absichern
    Erreichbarkeit der Admin-Konsole aus dem Internet auf das Nötigste einschränken und Zugriffe kontinuierlich überwachen. Die CSA ist als Edge-Gerät ein bevorzugtes Erstzugriffsziel.

Kompromittierungs-Indikatoren

  • Angriffs-Endpunkte: Konsolen-Skripte wie DateTimeTab.php (Command-Injection-Kette) sowie neu abgelegte, unbekannte PHP-Dateien im Web-Verzeichnis
  • Verhaltensmarker: Reverse-TCP-C2-Verbindungen
    base64-kodierte Python/Shell-Skripte zum Auslesen verschlüsselter Admin-Credentials
  • Vollständige IoCs: IP-Adressen, Datei-Hashes und Webshell-Namen im CISA/FBI-Advisory AA25-022A

Zur Einordnung: Die genannten Marker beschreiben das dokumentierte Angreifer-Verhalten aus AA25-022A; die dortige IoC-Liste (IPs, Hashes) ist maßgeblich und flüchtig. Kein Ersatz für die Analyse Ihrer eigenen Web- und Auth-Logs.

Wichtig: Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff. Da die Kette seit Oktober 2024 aktiv ausgenutzt wird und Angreifer Webshells sowie gestohlene Credentials hinterlassen, muss jede exponierte, ungepatchte CSA bis zum Beweis des Gegenteils als potenziell kompromittiert behandelt werden.

Empfehlung für die Geschäftsleitung

  • Patch auf CSA 5.0.2 bzw. Migration der 4.6-Reihe sofort anordnen.
  • Prüfen lassen, ob bereits ein Zugriff erfolgt ist – dokumentiert für eine etwaige Meldung; Admin-Zugangsdaten rotieren.
  • Über eine dauerhafte Überwachung der internetnahen Edge-Geräte entscheiden.

Primärquellen

NVD CVE-2024-9380 · Ivanti Security Advisory (CVE-2024-9379/9380/9381, Fix 5.0.2) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 09.10.2024, Frist 30.10.2024) · CISA/FBI Joint Cybersecurity Advisory AA25-022A. Angaben nach bestem Wissen zum Stand 14.07.2026; Versionsstände und IoCs gegen die Hersteller- und CISA-Advisories abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.

So unterstützt Sie Argos Security

Für genau diese Schwachstelle ausgewählt – nicht für jede.

  • SOFORTMASSNAHME

    Kompromittierung prüfen →

    Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.

  • LAUFENDE LEISTUNG

    Cyber Defense Center →

    Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Neu abgelegte Webshells, anomale ausgehende C2-Verbindungen und Konsolen-Zugriffe ohne vorherige Anmeldung. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.

  • LAUFENDE LEISTUNG

    Managed XDR – Extended Detection and Response →

    Wenn eine Ausnutzung erst nach dem Einstieg sichtbar wird, entscheidet die Korrelation über Endpunkt, Netzwerk und Identität.

Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.