Zwei verkettete Schwachstellen in Ivanti EPMM erlauben es einem nicht authentifizierten Angreifer aus dem Internet, beliebigen Code auf dem Server auszuführen. Der Authentifizierungs-Umgehung (CVE-2025-4427) öffnet den ungeschützten API-Endpunkt, die EL-Injection (CVE-2025-4428) führt darüber Java-Code aus. Öffentliche Exploits existieren; die Ausnutzung läuft seit Mai 2025.
Advisory als PDF herunterladenDer API-Endpunkt /api/v2/featureusage übergibt den vom Nutzer gelieferten format-Parameter ungeprüft an Springs AbstractMessageSource. Beim Aufbau von Fehlermeldungen wird der Wert als Spring-Expression-Language ausgewertet – dadurch kann ein Angreifer beliebigen Java-Code ausführen (CWE-94). Da CVE-2025-4427 diesen Endpunkt zusätzlich ohne Anmeldung erreichbar macht (fehlende Spring-Security-Regeln), ist die Kette komplett unauthentifiziert ausnutzbar.
/api/v2/featureusage via CVE-2025-4427 aufrufenformat-Parameter (CVE-2025-4428)| EPMM-Zweig | Verwundbar | Fixversion |
|---|---|---|
| 11.12.0.x | ≤ 11.12.0.4 | 11.12.0.5 |
| 12.3.0.x | ≤ 12.3.0.1 | 12.3.0.2 |
| 12.4.0.x | ≤ 12.4.0.1 | 12.4.0.2 |
| 12.5.0.x | 12.5.0.0 | 12.5.0.1 |
Betroffen ist ausschließlich das on-premises Ivanti EPMM (vormals MobileIron Core). Ivanti Neurons for MDM (Cloud), Sentry und andere Produkte sind nach Herstellerangabe nicht betroffen. Fixversionen gegen das Hersteller-Advisory des eigenen Zweigs abgleichen.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf den MDM-Server kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Mitigation vor Patch, Patch vor Entwarnung.
≤ 11.12.0.4 · ≤ 12.3.0.1 · ≤ 12.4.0.1 · 12.5.0.0. Cloud-basiertes Neurons for MDM ist nicht betroffen./api/v2/featureusage. Ivanti verweist auf seinen ACL-Leitfaden./api/v2/featureusage → Zugriff per ACL/WAF filtern11.12.0.5 · 12.3.0.2 · 12.4.0.2 · 12.5.0.1. Der Patch schließt beide verketteten Lücken (4427 + 4428)./api/v2/featureusage bzw. /rs/api/v2/featureusage mit auffälligem format-Parameter (EL-Syntax) durchsuchen; Prozessliste und ausgehende Verbindungen auf Sliver-Beacons prüfen und die IoCs unten abgleichen. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Zugriff./api/v2/featureusage
/rs/api/v2/featureusageformat-Parameter77.221.158.154
150.241.97.8382.132.235.212 · 37.219.84.22
27.25.148.183 · 47.120.74.19Zur Einordnung: Der Endpunkt /api/v2/featureusage ist eine reguläre EPMM-API – auffällig nur mit EL-Syntax im format-Parameter. IPs und Sliver-Infrastruktur sind eine Momentaufnahme der beobachteten Kampagne (Mai 2025) und flüchtig – kein Ersatz für die Analyse Ihrer eigenen Logs.
Wichtig: Die Auth-Umgehung (CVE-2025-4427) macht den RCE-Endpunkt ohne Anmeldung erreichbar – erfolgreiche Angriffe erzeugen keinen fehlgeschlagenen Login und lösen keinen klassischen Alarm aus. Ohne Auswertung der API-Logs bleibt ein bereits erfolgter Zugriff unsichtbar.
Ivanti Security Advisory EPMM (CVE-2025-4427 / CVE-2025-4428, 13.05.2025) · NVD (CVE-2025-4428, CVSS 3.1 8,8) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 19.05.2025) · Wiz Threat Research · ProjectDiscovery / watchTowr technische Analysen. Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Zweigs abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: POST-Anfragen an /api/v2/featureusage mit EL-Payload und ausgehende Sliver-Beacons. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
LAUFENDE LEISTUNG
Auf verwalteten Endpunkten lässt sich eine Ausnutzung nachgelagert erkennen und eingrenzen, auch wenn der Patch noch nicht überall ausgerollt ist.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.