Ivanti ICS: Umgehung der Authentifizierung (CVE-2023-46805)

Was ist betroffen, was ist zu tun

Ein Authentifizierungsumgehungsschwachstelle im Webkomponente von Ivanti ICS 9.x, 22.x und Ivanti Policy Secure ermöglicht es einem entfernten Angreifer, auf eingeschränkte Ressourcen zuzugreifen, indem er Kontrollprüfungen umgeht.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Die vorliegenden Quellen nennen keine Fix-Version. Prüfen Sie die Herstellerhinweise in den Referenzen unten. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• Ivanti ICS lte 9.1R18..9.1R18
• Ivanti ICS lte 22.6R2..22.6R2
• Ivanti IPS lte 9.1R18..9.1R18
• Ivanti IPS lte 22.6R1..22.6R1

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Bestand und Exposition erfassen: Alle Ivanti Connect Secure (ICS 9.x, 22.x) und Ivanti Policy Secure Gateways identifizieren und prüfen, ob die Web-Oberfläche (typischerweise TCP/443) aus dem Internet erreichbar ist. Diese Systeme gelten bis zum Nachweis des Gegenteils als potenziell kompromittiert.
   • Hersteller-Patch einspielen: Ein Patch ist beim Hersteller verfügbar. Die zutreffende Version bitte im Ivanti-Advisory nachschlagen; er behebt CVE-2023-46805 zusammen mit CVE-2024-21887. Ist das Patchen nicht sofort möglich, die im Ivanti-Advisory bereitgestellte XML-Mitigation-Datei importieren. Achtung: Ein späterer Import alter Konfigurations-Backups oder ein zentraler Konfigurations-Push kann die Mitigation wieder entfernen.
   • Externen Integrity Checker Tool (ICT) ausführen: Die interne Prüfung reicht nicht aus, weil Angreifer die interne Prüfroutine nachweislich manipuliert haben. Bei Abweichungen (neue oder veränderte Dateien) das Gerät vom Netz trennen, ein forensisches Image sichern und es auf Werkseinstellungen zurücksetzen. Erst danach patchen und neu aufsetzen, in Anlehnung an CISA ED 24-01.
   • Zugangsdaten und Geheimnisse rotieren: Bei Kompromittierungsverdacht folgende Geheimnisse zurücksetzen bzw. widerrufen:
     • lokale Admin-Konten des Gateways,
     • LDAP/AD-Bind- und Dienstkonten,
     • API-Schlüssel,
     • Server-Zertifikate inkl. privater Schlüssel,
     • Passwörter aller Benutzer, die sich seit Beginn der Exposition über das Gateway angemeldet haben. Das krbtgt-Konto zweimal zurücksetzen, falls Domänen-Dienstkonten betroffen sind.
   • Protokolle sichern: Gateway-Logs, Syslog-Weiterleitungen und Firewall-/NetFlow-Daten vor einem Reset exportieren. Die Aufbewahrung im SIEM verlängern.
   • Meldepflichten prüfen: Für NIS2- bzw. KRITIS-Einrichtungen die Frühwarnung an BSI bzw. CSIRT innerhalb von 24 h vorbereiten, falls Kompromittierungsindikatoren vorliegen.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzsegmentierung: Die Management-Oberfläche des Gateways ausschließlich aus einem dedizierten Admin-VLAN erreichbar machen. Ausgehenden Verkehr des Appliance-Interfaces ins Internet auf das Nötigste beschränken (Default-Deny), da beobachtete Angriffe Nachladeaktivität per curl/wget zeigten.
   • WAF/IPS: Anfragen mit Path-Traversal-Sequenzen (../, %2e%2e%2f) in URIs unter /api/v1/ blockieren. Das gilt insbesondere für /api/v1/totp/user-backup-code/ und /api/v1/license/keys-status/. Die Suricata/ET-Signaturen für CVE-2023-46805 bzw. CVE-2024-21887 aktivieren und auf „drop“ stellen.
   • IAM/Least Privilege: Das AD-Dienstkonto des Gateways auf reine Leserechte beschränken und Anmeldungen dieses Kontos ausschließlich vom Gateway erlauben. MFA für VPN-Benutzer erzwingen und die Sitzungsdauer begrenzen.
   • Nachgelagerte Härtung: Vom VPN-Adresspool aus nur benötigte Ziele und Ports freigeben. Den RDP/SMB-Zugriff aus dem VPN-Pool auf Domänencontroller unterbinden, um laterale Bewegung zu erschweren.
   • Konfigurationsdisziplin: Nach dem Patch bzw. der Mitigation keine alten Konfigurationsstände zurückspielen. Den Mitigations-Status nach jeder Änderung erneut verifizieren.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Webserver-/Gateway-Access-Logs: Nach Requests suchen, deren URI /api/v1/totp/user-backup-code/../../ oder /api/v1/license/keys-status/ mit nachfolgendem Pfad enthält. Ebenfalls relevant sind Zugriffe auf /api/v1/system/maintenance/archiving/cloud-server-test-connection ohne vorherige Authentifizierung.
     • SPL-Beispiel: index=vpn uri="*/api/v1/totp/user-backup-code/*" OR uri="*/api/v1/license/keys-status/*" | stats count by src_ip, uri
   • ICT- und Datei-Integrität: Neue oder veränderte Dateien unter /home/webserver/htdocs/dana-na/ deuten auf Kompromittierung hin, z. B. manipulierte CGI- oder JavaScript-Dateien zum Abgreifen von Zugangsdaten. Gleiches gilt für ICT-Meldungen zu „mismatched“ oder „new files“.
   • Netztelemetrie (Zeek/Suricata): Ausgehende HTTP/HTTPS-Verbindungen, die vom Gateway selbst ausgehen und zu unbekannten Zielen oder VPS-Anbietern führen, sind verdächtig. Auffällig sind außerdem DNS-Abfragen des Gateways zu ungewöhnlichen Domains.
     • KQL-Beispiel: CommonSecurityLog | where SourceIP == "<gateway_ip>" and DestinationPort in (80,443) and not(DestinationIP in (allowlist))
   • Active Directory (Windows Event IDs 4624/4625/4768/4769): Folgende Muster weisen auf missbrauchte Zugangsdaten hin:
     • Anmeldungen des Gateway-Dienstkontos von anderen Hosts als dem Gateway,
     • LDAP-Abfragen in ungewöhnlichem Umfang,
     • neue Anmeldungen von VPN-Pool-IPs auf Servern, die diese Benutzer normalerweise nicht nutzen.
   • Gateway-Systemlogs: Plötzliche Lücken im Log, gelöschte Logs, ungeplante Neustarts oder Konfigurationsänderungen außerhalb von Wartungsfenstern sind Warnsignale. Eine Sigma-Regel sollte auf Syslog-Events mit Admin-Änderungen ohne zugehörige Admin-Anmeldung prüfen.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Ein Authentifizierungsumgehungsschwachstelle im Webkomponente von Ivanti ICS 9.x, 22.x und Ivanti Policy Secure ermöglicht es einem entfernten Angreifer, auf eingeschränkte Ressourcen zuzugreifen, indem er Kontrollprüfungen umgeht.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: CSA/SingCERT, NCSC NZ (CC BY 4.0), pwn.watch, cvelistv5, NVD (NIST), CISA KEV Catalog, CVE.org (MITRE)

Hersteller und Produkte

• Ivanti Ivanti Connect Secure
• Ivanti Ivanti ICS
• Ivanti Ivanti IPS
• Ivanti Ivanti Policy Secure

Quellen & Referenzen

• forums.ivanti.coms/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-C…
• packetstormsecurity.comfiles/176668/Ivanti-Connect-Secure-Unauthenticated-Remote-Code-…
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2023-46805government-resource
• cert.atCERT.at: Update #6: Kritische Sicherheitslücken in Ivanti Connect Secure und Ivanti Policy Secure - aktiv ausgenützt - Patches verfügbarcert-at
• cert.cyber.gouv.frANSSI / CERT-FR: CERTFR-2024-ALE-001 – [MàJ] Multiples vulnérabilités dans Ivanti Connect Secure et Policy Secure Gateways (clôturée 2024-04-15)cert-fr
• pwn.watchpwn.watch: Ivanti Connect Secure zero-days chained for mass VPN compromisepwn-watch
• volexity.comActive exploitation of two zero-day vulnerabilities in Ivanti Connect Secure VPNpwn-watch
• forums.ivanti.comIvanti KB: CVE-2023-46805 and CVE-2024-21887 for Ivanti Connect Secure and Policy Securepwn-watch
• cisa.govED 24-01: Mitigate Ivanti Connect Secure and Ivanti Policy Secure vulnerabilitiespwn-watch
• cisa.govSupplemental Direction V1: ED 24-01pwn-watch
• cloud.google.comSuspected APT targets Ivanti Connect Secure VPN in new zero-day exploitationpwn-watch
• forums.ivanti.comIvanti advisory: CVE-2023-46805pwn-watch
• NVD (NIST)NVD: CVE-2023-46805pwn-watch
• NVD (NIST)NVD: CVE-2024-21887pwn-watch
• NVD (NIST)NVD: CVE-2024-21893pwn-watch
• cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 01.10.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: ja

   2 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   SSVC-Einschätzung	entfernt	{"id":"CVE-2023-46805","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"no"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-08-04T03:55:52.297429Z"}	—
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2023-46805","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"partial"}],"version":"2.0.3","timestamp":"2026-10-01T20:26:57.124057Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

2. 01.10.2026Eintrag geändertHackerOne

   Neue Referenzen:

   • http://packetstormsecurity.com/files/176668/Ivanti-Connect-Secure-Unauthenticated-Remote-Code-Execution.html
   • https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
   6 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	http://packetstormsecurity.com/files/176668/Ivanti-Connect-Secure-Unauthenticated-Remote-Code-Execution.html
   Referenz	ergänzt	—	https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
   Referenz	entfernt	http://packetstormsecurity.com/files/176668/Ivanti-Connect-Secure-Unauthenticated-Remote-Code-Execution.html	—
   Referenz	entfernt	https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US	—
   Referenztyp	entfernt	http://packetstormsecurity.com/files/176668/Ivanti-Connect-Secure-Unauthenticated-Remote-Code-Execution.html Types: Exploit, Third Party Advisory, VDB Entry	—
   Referenztyp	entfernt	https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US Types: Vendor Advisory	—

   Kennung der Quelle: support@hackerone.com

3. 01.10.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: nein

   Neue Referenzen:

   • https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-46805
   5 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-46805
   Referenz	entfernt	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-46805	—
   Referenztyp	entfernt	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-46805 Types: US Government Resource	—
   SSVC-Einschätzung	entfernt	{"id":"CVE-2023-46805","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"no"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2024-01-10T00:00:00+00:00"}	—
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2023-46805","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"no"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-08-04T03:55:52.297429Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

4. 01.10.2026Eintrag geändertCVE Program

   Neue Referenzen:

   • http://packetstormsecurity.com/files/176668/Ivanti-Connect-Secure-Unauthenticated-Remote-Code-Execution.html
   • https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
   6 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	http://packetstormsecurity.com/files/176668/Ivanti-Connect-Secure-Unauthenticated-Remote-Code-Execution.html
   Referenz	ergänzt	—	https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
   Referenz	entfernt	http://packetstormsecurity.com/files/176668/Ivanti-Connect-Secure-Unauthenticated-Remote-Code-Execution.html	—
   Referenz	entfernt	https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US	—
   Referenztyp	entfernt	http://packetstormsecurity.com/files/176668/Ivanti-Connect-Secure-Unauthenticated-Remote-Code-Execution.html Types: Exploit, Third Party Advisory, VDB Entry	—
   Referenztyp	entfernt	https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US Types: Vendor Advisory	—

   Kennung der Quelle: af854a3a-2127-422b-91ae-364da2661108