CVE-2024-50330: Ivanti Endpoint Manager (EPM) SQL注入到远程代码执行

概述

CVE-2024-50330 是 Ivanti Endpoint Manager (EPM) 中存在的一个严重的预认证 SQL 注入漏洞，允许远程未认证攻击者在目标服务器上实现远程代码执行。该漏洞已于2024年11月的安全更新中披露并修复。

技术细节

• CVE：CVE-2024-50330
• CWE：CWE-89（SQL注入）
• CVSS：严重（CVSS 3.x 评分约9.8）
• 攻击向量：网络
• 认证：不需要
• 影响：远程代码执行

该漏洞存在于 Ivanti EPM Web 界面中的一个未认证端点。攻击者通过精心构造的 HTTP 请求向易受攻击的参数注入恶意 SQL 查询，可操控针对 Microsoft SQL Server 数据库的后端 SQL 查询。这可被利用以启用 xp_cmdshell 并执行任意操作系统命令。

受影响版本

所有在2024年11月安全更新之前的 Ivanti Endpoint Manager 版本。

复现

前提条件

• 目标运行易受攻击的 Ivanti EPM 版本
• 可以网络访问 EPM Web 界面
• Python 3.x 并安装了 requests 库

PoC