CVE-2024-50330: Ivanti Endpoint Manager (EPM) SQL-Injection zu RCE

Überblick

CVE-2024-50330 ist eine kritische Pre-Authentication-SQL-Injection-Schwachstelle in Ivanti Endpoint Manager (EPM), die es einem entfernten, nicht authentifizierten Angreifer ermöglicht, Remote-Code auf dem Zielserver auszuführen. Die Schwachstelle wurde im Sicherheitsupdate vom November 2024 offengelegt und behoben.

Technische Details

• CVE: CVE-2024-50330
• CWE: CWE-89 (SQL-Injection)
• CVSS: Kritisch (CVSS 3.x-Score ~9.8)
• Angriffsvektor: Netzwerk
• Authentifizierung: Keine erforderlich
• Auswirkung: Remote-Code-Ausführung

Der Fehler befindet sich in einem nicht authentifizierten Endpunkt innerhalb der Ivanti-EPM-Weboberfläche. Durch das Injizieren bösartiger SQL-Abfragen über manipulierte HTTP-Anfragen an einen verwundbaren Parameter kann ein Angreifer Backend-SQL-Abfragen gegen die Microsoft-SQL-Server-Datenbank manipulieren. Dies kann genutzt werden, um xp_cmdshell zu aktivieren und beliebige Betriebssystembefehle auszuführen.

Betroffene Versionen

Alle Versionen von Ivanti Endpoint Manager vor dem Sicherheitsupdate vom November 2024.

Reproduktion

Voraussetzungen

• Zielsystem mit einer verwundbaren Version von Ivanti EPM
• Netzwerkzugriff auf die EPM-Weboberfläche
• Python 3.x mit der Bibliothek requests

PoC

Das bereitgestellte exploit.py demonstriert:

1. UNION-basierte SQL-Injection zum Extrahieren von Datenbankinformationen
2. Aktivieren von xp_cmdshell per SQL-Injection
3. Ausführen beliebiger Systembefehle
4. Zeitbasierte Blind-SQL-Injection als Fallback-Technik

Gegenmaßnahmen

• Wenden Sie das Ivanti-Sicherheitsupdate vom November 2024 sofort an.
• Beschränken Sie den Netzwerkzugriff auf EPM-Verwaltungsschnittstellen.
• Überwachen Sie auf anomale SQL-Abfragen und Befehlsausführung.
• Implementieren Sie Web-Application-Firewall-Regeln (WAF), um SQLi-Muster zu erkennen.

Referenzen

• Ivanti-Sicherheitshinweis
• CVE-2024-50330
• CWE-89: SQL-Injection