BEDROHUNG
Sicherheitsforscher warnen vor einer Angriffskampagne gegen Ivanti Connect Secure VPN-Appliances, bei der Angreifer drei bislang unbekannte Sicherheitslücken miteinander verketten, um ohne Authentifizierung Root-Rechte zu erlangen. Die Schwachstellen wurden von der Sicherheitsfirma Volexity bei der Untersuchung eines kompromittierten Systems entdeckt. Ivanti hat bereits Korrekturen für zwei der drei Schwachstellen veröffentlicht, während für die dritte bislang kein Sicherheitsupdate verfügbar ist.
Die Angriffskette kombiniert eine Umgehung der Authentifizierung, eine Schwachstelle zur Remote-Code-Execution und eine anschließende Rechteausweitung. Der Angreifer kann dadurch beliebige Befehle mit höchsten Systemprivilegien ausführen. Im untersuchten Vorfall wurden gespeicherte Zugangsdaten gestohlen, Informationen aus dem Active Directory (AD) gesammelt und weitere Angriffe auf Benutzerkonten vorbereitet. Zusätzlich manipulierten die Angreifer Protokolle und führten ihre Befehle direkt über die ausgenutzte Schwachstelle aus, ohne eine klassische Backdoor oder Webshell auf dem System zu hinterlassen. Dadurch erschwerten sie die Erkennung einer Kompromittierung.
Die Schwachstelle CVE-2026-104935 wird bereits aktiv ausgenutzt. Besonders problematisch ist, dass die Angriffskette auch gegen eine zum Zeitpunkt des Vorfalls vollständig aktualisierte Appliance funktionierte. Administratoren sollten betroffene Systeme unverzüglich auf die von Ivanti bereitgestellten korrigierten Versionen aktualisieren. Da das herstellereigene „Integrity Checker Tool“ laut Volexity die beschriebenen Manipulationen möglicherweise nicht erkennt, reicht ein unauffälliges Prüfergebnis nicht aus, um eine Kompromittierung auszuschließen. Bei Verdachtsfällen sind weitergehende forensische Untersuchungen erforderlich.
Was jetzt zu tun ist:
- Ivanti Connect Secure auf eine korrigierte Version aktualisieren
- betroffene Appliances anhand der Herstellerhinweise und Versionsangaben identifizieren
- Netzwerk- und Systemprotokolle auf verdächtige Anfragen und Manipulationen untersuchen
- bei Kompromittierungsverdacht forensische Analysen durchführen und gespeicherte Zugangsdaten überprüfen
PRÄVENTION & DETEKTION
Kontinuierliches Monitoring macht ungewöhnliche Netzwerkverbindungen und andere Anzeichen einer Kompromittierung frühzeitig sichtbar macht.
Mit einem Schwachstellenscan kann überprüft werden, ob man die betroffene Version hat.
Autor: Christoph Kronabel
