Ivanti veröffentlicht Sicherheitsupdates für zwei aktiv ausgenutzte Zero-Day-Schwachstellen in EPMM

Ivanti hat dringende Sicherheitsupdates verteilt, um zwei schwerwiegende Schwachstellen in seinem Produkt Endpoint Manager Mobile (EPMM) zu beheben, die aktiv in Zero-Day-Angriffen ausgenutzt wurden. Eine dieser Schwachstellen wurde auch in den KEV-Katalog (Known Exploited Vulnerabilities) der US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) aufgenommen, was die Dringlichkeit von Maßnahmen unterstreicht.

Die beiden kritischen Schwachstellen, beide mit CVSS-Scores von 9,8/10, ermöglichen es einem unbefugten Angreifer, über Code-Injektion beliebigen Code auf dem verwundbaren Rechner auszuführen.

Die Schwachstellen betreffen mehrere EPMM-Versionen bis zu den Serien 12.5.0.0, 12.6.0.0 und 12.7.0.0 (für die RPM-Patches verfügbar sind) sowie die Versionen 12.5.1.0 und 12.6.1.0, für die spezielle Korrekturen vorliegen. Es ist wichtig zu beachten, dass die RPM-Patches nach einem Versionsupdate erneut eingespielt werden müssen, während die Version 12.8.0.0 (voraussichtlich im 1. Quartal 2026) die Korrekturen bereits enthält.

Laut der Warnung von Ivanti wurden zum Zeitpunkt der Veröffentlichung bereits einige Installationen ausgenutzt, obwohl die Anzahl der kompromittierten Clients sehr begrenzt ist und keine zuverlässigen Indikatoren zur Identifizierung des verantwortlichen Akteurs zur Verfügung stehen.

Die Schwachstellen betreffen Funktionen wie In-House Application Distribution und Android File Transfer Configuration und wirken sich nicht auf andere Produkte im Ivanti-Ökosystem wie Neurons for MDM, Endpoint Manager (EPM) oder Sentry aus.

Dadie Ausführung von beliebigem Code auf einem EPMM-Gerät potenziell einen lateralen Zugriff auf die verwaltete Umgebung ermöglicht und sensible Informationen auf mobilen Geräten kompromittiert, ist es von entscheidender Bedeutung, die Sicherheitsfixes so schnell wie möglich anzuwenden.

Sicherheitsempfehlungen

• Installieren Sie unverzüglich die von Ivanti veröffentlichtenSicherheitsupdates für alle betroffenen EPMM-Instanzen.
• Stellen Sie sicher, dass die RPM-Patches nach jeder Versionsaktualisierung erneut eingespielt werden.
• Überwachen Sie die Systemprotokolle, insbesondere die Apache-Protokolle, auf Angriffsversuche.
• Überprüfen Sie verdächtige Konfigurationen, neue administrative Benutzer oder Änderungen an Authentifizierungseinstellungen und Sicherheitsrichtlinien.
• Im Falle einer vermuteten Kompromittierung stellen Sie das System von einem zuverlässigen Backup wieder her, setzen Passwörter und Zertifikate zurück und überprüfen die Sicherheitskonfigurationen.

SOC