Ein nicht authentifizierter Angreifer aus dem Internet kann die API-Authentifizierung von Ivanti EPMM umgehen. Für sich genommen ist das ein Zugriff auf geschützte Ressourcen – in Kombination mit CVE-2025-4428 (Ausdrucks-Injektion) wird daraus die Ausführung von Schadcode ohne Anmeldung. Beide Lücken werden seit dem Tag der Veröffentlichung aktiv ausgenutzt.
Advisory als PDF herunterladenDie API-Komponente von EPMM prüft für einen bestimmten Endpunkt die Authentifizierung nicht korrekt: durch die Reihenfolge der internen Routen erreicht eine präparierte Anfrage die Anwendungslogik, bevor die Sicherheitsfilter greifen (CWE-288, Authentifizierungs-Bypass über einen alternativen Pfad). Dahinter liegt CVE-2025-4428 – über einen nutzergesteuerten format-Parameter lässt sich ein Ausdruck (Expression Language) einschleusen, den der Server auswertet. Erst zusammen ergeben Bypass und Ausdrucks-Injektion die unauthentifizierte Codeausführung.
format-Parameter einen EL-Ausdruck übergeben (CVE-2025-4428)| EPMM-Zweig | Verwundbar | Fixversion |
|---|---|---|
| 11.12 | ≤ 11.12.0.4 | 11.12.0.5 |
| 12.3 | ≤ 12.3.0.1 | 12.3.0.2 |
| 12.4 | ≤ 12.4.0.1 | 12.4.0.2 |
| 12.5 | ≤ 12.5.0.0 | 12.5.0.1 |
| Neurons for MDM (Cloud) | nicht betroffen | — |
Betroffen ist ausschließlich das On-Premises-Produkt EPMM (vormals MobileIron Core). Die Cloud-Variante Ivanti Neurons for MDM ist nach Herstellerangabe nicht betroffen. Exakte Build-Ranges gegen das Hersteller-Advisory des eigenen Zweigs abgleichen.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf den MDM-Server kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – exponierte Systeme zuerst, Patch vor Entwarnung.
11.12.0.5 · 12.3.0.2 · 12.4.0.2 · 12.5.0.1). Der Patch schließt sowohl den Auth-Bypass als auch die Ausdrucks-Injektion.format-Parameter durchsuchen. Auf eingeschleuste „Malicious Listeners" und unbekannte Prozesse/Dateien prüfen (CISA-Bericht AR25-261A). Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff./mifs/rs/api/v2/featureusageformat-Parameter (z. B. ${...})Zur Einordnung: Der Endpunkt ist ein regulärer EPMM-API-Aufruf – auffällig nur in Verbindung mit einem eingeschleusten Ausdruck oder Zugriffen ohne gültige Anmeldung. Die Marker stammen aus veröffentlichten Analysen und sind kein Ersatz für die Auswertung Ihrer eigenen Anwendungs- und Zugriffs-Logs.
Wichtig: Für sich genommen ist CVE-2025-4427 „nur" ein Auth-Bypass – die eigentliche Gefahr entsteht durch die Verkettung mit CVE-2025-4428 zur unauthentifizierten Codeausführung. Beide Lücken werden seit dem Tag der Veröffentlichung aktiv ausgenutzt; ein Patch allein sagt nichts darüber aus, ob ein System zuvor bereits kompromittiert wurde.
NVD CVE-2025-4427 · Ivanti Security Advisory EPMM (13.05.2025) · CISA Known Exploited Vulnerabilities Catalog (Aufnahme 19.05.2025) · CISA Analysis Report AR25-261A · Rapid7 Emergent Threat Report · ProjectDiscovery Technical Analysis. Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Zugriffe auf den verwundbaren API-Endpunkt ohne gültige Session sowie eingeschleuste Listener. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Auf verwalteten Endpunkten lässt sich eine Ausnutzung nachgelagert erkennen und eingrenzen, auch wenn der Patch noch nicht überall ausgerollt ist.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.