Kritische Schwachstellen in zwei Ivanti-Produkten

Die kritische Schwachstelle im Virtual Traffic Manager (vTM) ermöglicht Angeifenden, die Authentifizierung zu umgehen und einen administrativen Account zu erstellen. Dies könnte zu einer vollständigen Systemkompromittierung führen. Das berichten verschiedene Quellen.

Betroffen sei insbesondere das Admin-Panel, über das sich Angreifende ohne gültige Anmeldeinformationen unautorisierten Zugriff verschaffen könnten. Eine aktive Ausnutzung der Schwachstelle ist laut Ivanti nicht bekannt. Da jedoch ein Exploit für die Schwachstelle verfügbar ist, ist die Gefahr einer Ausnutzung hoch.

Betroffen sind folgende vTM-Versionen:

• 22.2: gepatcht mit Version 22.2R1 (verfügbar)
• 22.3: gepatcht mit Version 22.3R3 (Verfügbarkeit für KW 34 angekündigt)
• 22.3R2: gepatcht mit Version 22.3R3 (Verfügbarkeit für KW 34 angekündigt)
• 22.5R1: gepatcht mit Version 22.5R2 (Verfügbarkeit für KW 34 angekündigt)
• 22.6R1: gepatcht mit Version 22.6R2 (Verfügbarkeit für KW 34 angekündigt)
• 22.7R1: gepatcht mit Version 22.7R2 (verfügbar)

Die Schwachstelle besitzt die Kennung CVE-2024-7593 mit einem CVSS-Score von 9.8.

Virtual Traffic Manager ist ein Application Delivery Controller.

Angreifende könnten Schwachstellen in Ivanti Connect Secure ausnutzen, um Dateien zu manipulieren und vertrauliche Informationen zu offenbaren.

Nach einem Bericht des US-amerikanischen IT-Unternehmens Akamai können Angreifende über die Schwachstellen von Ivanti Connect Secure auf einen kompromittierten VPN-Server zugreifen und ihn kontrollieren. Dies ermögliche ihnen, VPN-Funktionen zu beeinflussen und sensible Informationen abzufangen. Ein Update, das die Sicherheitslücken schließt, ist bislang nicht verfügbar.

Die Schwachstellen besitzen die Kennung CVE-2024-37374 und CVE-2024-37375. Ein CVSS-Score ist noch nicht zugewiesen.

Ivanti Connect Secure umfasst TLS- und mobile VPN-Lösungen.

• vTM:
  • Ivanti empfiehlt, auf die aktuelle vTM-Version zu aktualisieren.
  • Wenn eine Aktualisierung nicht möglich ist, empfiehlt Ivanti, den Zugriff auf die Verwaltungsschnittstelle einzuschränken.
• Da es für Connect Secure noch kein Update gibt, gelten folgende allgemeinen Empfehlungen:
  • Richten Sie für den Netzwerkzugriff Zero Trust ein.
  • Begrenzen Sie die Berechtigungen von Service-Accounts auf das notwendige Maß.
  • Nutzen Sie zur VPN-Authentifizierung fest zugeordnete Identitäten.
  • Überwachen Sie Änderungen an der Konfiguration.