Ivanti Connect Secure: Zero-Day-Exploits ermöglichen Root-Zugriff durch verkettete Angriffe

Sicherheitsforscher haben eine aktive Exploit-Kampagne identifiziert, die sich gegen Ivanti Connect Secure VPN-Appliances richtet. Am 13. Oktober meldete das Sicherheitsunternehmen Volexity, dass ein Angreifer drei Zero-Day-Schwachstellen verkettet hat, um Befehle als Root-Benutzer ohne Authentifizierung auszuführen. Während Ivanti Patches für zwei dieser Schwachstellen veröffentlicht hat, bleibt der Fix für die dritte weiterhin aus, wodurch einige Systeme trotz Updates verwundbar bleiben.

Was passiert ist

Volexity entdeckte den Angriff auf einer Kunden-Appliance, die die Version 22.8R2.4 ausführte. Obwohl diese Version zum Zeitpunkt des Angriffs als vollständig gepatcht galt, begann der Angreifer, der als UTA0576 verfolgt wird, am 3. Oktober mit der Ausnutzung des Systems. Die Angriffskette umfasst zwei anfängliche Schwachstellen, die zusammen als CVE-2026-104935 geführt werden und einen Authentifizierungs-Bypass sowie eine Remote-Code-Execution-Schwachstelle beinhalten. Diese ermöglichen es einem Angreifer, Code als cgi-server-Benutzer auszuführen. Eine dritte Schwachstelle, eine Privilegieneskalation, hebt diese Berechtigungen dann auf Root-Zugriff an.

Ivanti hat eine begrenzte Ausnutzung in freier Wildbahn bestätigt und Kunden aufgefordert, sofort zu handeln. Das Unternehmen hat Fixes für die Komponenten Authentifizierungs-Bypass und Remote-Code-Execution in Version 25.1.3.0 veröffentlicht, datiert auf Juli 2026. Die Schwachstelle zur Privilegieneskalation bleibt jedoch ungepatcht; Volexity gibt an, dass ein Fix in einer zukünftigen Version in den kommenden Wochen erscheinen wird. Es ist derzeit unklar, welches Risiko von der verbleibenden Schwachstelle ausgeht, wenn die ersten beiden bereits entschärft sind.

Die Angriffsmethode ist besonders heimlich. Volexity stellte fest, dass Ivantis Integrity Checker Tool diese spezifische Exploit-Kette nicht erkennt, da der Angreifer Bibliothekscode nur im Speicher modifiziert und Konfigurationsdaten nach der Nutzung wiederherstellt. Dies bedeutet, dass Standard-Integritätsprüfungen saubere Ergebnisse liefern können, selbst während das System kompromittiert ist. Die Bestätigung eines Einbruchs erfordert eine tiefgehende forensische Untersuchung, einschließlich Netzwerk- und Speicheranalyse, anstatt sich ausschließlich auf automatisierte Tools zu verlassen.

Wichtige Details

• Betroffene Versionen: Connect Secure-Versionen vor 25.1.3.0 sind betroffen, mit Ausnahme von Version 22.7R2.14 und älter, die als nicht betroffen gelistet sind.
• Gepatchte Versionen: Die Versionen 22.8R2.5, 25.1.3.0 und 25.1.3.1 werden im ursprünglichen CVE-Eintrag als nicht betroffen gelistet.
• Aktive Ausnutzung: Die US-Behörde Cybersecurity and Infrastructure Security Agency (CISA) markiert die Ausnutzung als aktiv mit voller technischer Auswirkung.
• Tarntechniken: Der Angreifer führt die gesamte Exploit-Kette für jeden einzelnen Befehl erneut aus und hinterlässt keine Backdoor oder Web Shell, was die Erkennung erschwert.
• Datendiebstahl: Im untersuchten Vorfall stahl der Angreifer LDAP-Domänenanmeldedaten und führte Passwort-Spraying-Angriffe gegen Active-Directory-Konten durch.
• Andere Schwachstellen: Ivanti patchte auch kritische Fehler in Xtraction (CVE-2026-106042) und Neurons Patch for Intune (CVE-2026-109412), wobei für diese keine Ausnutzung gemeldet wurde.

Hintergrund

Zero-Day-Schwachstellen sind Sicherheitslücken, die dem Anbieter unbekannt sind und zum Zeitpunkt der Entdeckung keinen verfügbaren Patch haben. Wenn Angreifer mehrere Zero-Days verketten, können sie geschichtete Verteidigungen umgehen, die einen einzelnen Exploit stoppen würden. In diesem Fall bewegt sich die Kette vom Umgehen der Authentifizierung über die Codeausführung bis hin zur Erlangung der vollen administrativen Kontrolle. Diese Eskalation ist gefährlich, da sie es einem Angreifer ermöglicht, mit den höchsten Privilegien auf der Netzwerk-Appliance zu operieren.

Privilegieneskalation ist ein häufiges Ziel solcher Angriffe. Sobald ein Angreifer mit eingeschränkten Rechten Fuß gefasst hat, versucht er, seinen Status auf Root oder Administrator zu erhöhen. Dies gewährt ihm die Möglichkeit, Systemkonfigurationen zu ändern, persistente Malware zu installieren oder auf sensible Datenspeicher wie Anmeldedatenbanken zuzugreifen. Die Tatsache, dass dieser spezifische Exploit im Speicher operiert, macht ihn schwerer mit traditioneller Dateiintegritätsüberwachung zu erkennen, die typischerweise Änderungen auf der Festplatte statt im aktiven RAM prüft.

Warum das wichtig ist

Für Teams, die ihre eigene Remote-Access-Infrastruktur verwalten, unterstreicht dieser Vorfall die Grenzen des reinen Vertrauens auf vom Anbieter bereitgestellte Integritätstools. Wenn Ihre Organisation Ivanti Connect Secure nutzt, kann alleiniges Ausführen des Integrity Checker Tools ein falsches Gefühl der Sicherheit vermitteln. Die heimliche Natur dieses Angriffs bedeutet, dass kompromittierte Systeme normal weiterlaufen können, während Angreifer Anmeldedaten exfiltrieren. Dies ist besonders riskant für Organisationen, die LDAP- oder Active-Directory-Anmeldedaten auf der Appliance speichern, da diese genutzt werden können, um tiefer ins Unternehmensnetzwerk einzudringen.

Die Verzögerung beim Patchen der dritten Schwachstelle schafft ein Fenster der Unsicherheit. Selbst wenn Sie auf die neueste Version upgraden, um die ersten beiden Fehler zu beheben, bleibt der Vektor für die Privilegieneskalation bis zur nächsten Veröffentlichung offen. Dies zwingt IT-Leiter dazu, die Dringlichkeit des Aufbringens verfügbarer Patches gegen das Risiko der verbleibenden Exposition abzuwägen. Es unterstreicht zudem die Notwendigkeit robuster Netzwerküberwachung und forensischer Fähigkeiten, da automatische Warnungen während der initialen Kompromittierung möglicherweise nicht ausgelöst werden.

Was Sie tun können

• Sofort upgraden: Wenn Sie eine betroffene Version nutzen, führen Sie ein Upgrade auf 25.1.3.0 oder höher durch, um die Schwachstellen für Authentifizierungs-Bypass und Remote-Code-Execution zu patchen.
• Auf IOCs überwachen: Prüfen Sie Ihre Logs auf hohe Volumina von Anfragen an /dana-na/auth/url_default/welcome.cgi mit nicht übereinstimmenden X-DSCGI-PATH-Headern.
• Nach verdächtigen Verzeichnissen suchen: Achten Sie auf das Vorhandensein des Verzeichnisses /data/.icscap/, das im untersuchten Vorfall verwendet wurde.
• Bekannte bösartige IPs blockieren: Erwägen Sie, die IP 108.165.147[.]64 an Ihrer Firewall zu blockieren, falls sie in Ihren Traffic-Logs auftaucht.
• Forensische Analyse durchführen: Verlassen Sie sich nicht nur auf das Integrity Checker Tool; führen Sie Speicher- und Netzwerkforensik durch, wenn Sie eine Kompromittierung vermuten.
• Anmeldedaten rotieren: Wenn Sie eine Exposition vermuten, rotieren Sie LDAP- und Active-Directory-Passwörter sofort, um Passwort-Spraying-Angriffe zu verhindern.