Ivanti EPM unter Beschuss: SQL-Injection & Rechteausweitung

Ivanti warnt aktuell vor mehreren gravierenden Sicherheitslücken im Endpoint Manager (EPM). Betroffen sind Unternehmen, die EPM für Geräteverwaltung, Patch-Management und Endpoint-Administration einsetzen.

Die Lücken ermöglichen unter anderem:

• SQL-Injection-Angriffe auf EPM-Komponenten
• Rechteausweitung innerhalb des Systems
• Zugriff auf sensible Datenbankinhalte
• Missbrauch legitimer Admin-Funktionen

Ivanti-Produkte standen in den vergangenen Monaten immer wieder im Fokus von Sicherheitsvorfällen. Bereits zuvor wurden mehrere kritische Lücken in verschiedenen Ivanti-Produkten aktiv angegriffen. Sicherheitsbehörden wie die CISA warnten mehrfach vor laufenden Attacken auf ungepatchte Systeme.

Das Problem bei Endpoint-Management-Systemen: Sie besitzen weitreichende Rechte im gesamten Unternehmensnetzwerk. Wird ein solches System kompromittiert, kann daraus schnell ein massiver Sicherheitsvorfall entstehen – inklusive Ransomware-Verteilung über die offiziellen EPM-Kanäle.

Cyberkriminelle nutzen häufig zunächst kleinere Schwachstellen aus, um sich im Netzwerk zu bewegen. Eine SQL-Injection kann der erste Einstiegspunkt sein – Endpoint-Management-Systeme sind danach besonders attraktive Ziele für professionelle Angreifergruppen:

1. 1

   Initial Access über SQL-Injection im EPM-Webinterface

2. 2

   Auslesen sensibler Datenbankinhalte (Geräte, Konten, Konfigurationen)

3. 3

   Rechteausweitung im EPM-Kontext zu lokalem oder Domain-Admin

4. 4

   Laterale Bewegung über EPM-Agents auf verwaltete Endgeräte

5. 5

   Deployment weiterer Malware oder Ransomware über die EPM-Verteilung

6. 6

   Datendiebstahl, Verschlüsselung und Erpressung

Nach bisherigen Informationen betrifft die Warnung verschiedene Versionen von Ivanti Endpoint Manager (EPM). Unternehmen sollten jetzt dringend prüfen:

• Welche EPM-Version aktuell im Einsatz ist
• Ob die Sicherheitsupdates bereits installiert wurden
• Ob EPM-Komponenten öffentlich erreichbar sind
• Welche Benutzerkonten administrative Rechte besitzen

1. 1

   Aktuelle Ivanti-Sicherheitsupdates für Endpoint Manager priorisiert einspielen

2. 2

   Ivanti-Advisories prüfen und betroffene Versionen mit dem eigenen Bestand abgleichen

3. 3

   EPM-Webinterface NICHT aus dem Internet erreichbar lassen – nur über VPN/Bastion

4. 4

   Logs auf SQL-Injection-Muster, ungewöhnliche Logins und neue Konten analysieren

5. 5

   Admin-Zugriffe einschränken, MFA für alle EPM-Zugänge erzwingen

6. 6

   Netzwerksegmentierung zwischen EPM-Server, Datenbank und Endgeräten prüfen

7. 7

   EDR/XDR auf EPM-Server, Datenbank-Host und Management-Workstations aktiv überwachen lassen

Gerade bei zentralen Verwaltungsplattformen gilt: „Später patchen" ist keine Strategie.

Patches sind notwendig, aber nicht ausreichend. Diese strukturellen Maßnahmen reduzieren das Risiko künftiger EPM-Angriffe:

Die neuen Ivanti-EPM-Sicherheitslücken zeigen erneut, wie kritisch zentrale Managementsysteme für Unternehmen geworden sind. SQL-Injections und Rechteausweitungen gehören zu den gefährlichsten Schwachstellenklassen überhaupt – insbesondere in Produkten mit weitreichenden Netzwerkrechten.

Wir empfehlen Unternehmen mit Ivanti-Umgebung: jetzt patchen, Management-Plane vom Internet trennen, Logs prüfen, MFA erzwingen und EDR/XDR auf den EPM-Servern aktivieren. Wer wartet, riskiert nicht nur einen einzelnen kompromittierten Server – sondern den Hebel zur Verteilung von Schadsoftware auf alle verwalteten Endgeräte.

Endpoint-Management ist Macht. Wer die Macht über die Endpoints verliert, verliert auch die Endpoints.