Ivanti Connect Secure: Zero-Day-Kette öffnet VPN-Gateways ohne Anmeldung

Ein VPN-Gateway soll entscheiden, wer ins Firmennetz darf. Bei Ivanti Connect Secure – dem früheren Pulse Connect Secure – lässt sich diese Entscheidung derzeit komplett umgehen: Zwei bis vor Kurzem unbekannte Schwachstellen, CVE-2023-46805 und CVE-2024-21887, erlauben es Angreifern, auf dem Gateway Befehle auszuführen, ohne sich überhaupt anzumelden. Ivanti hat die Lücken am 10. Januar 2024 öffentlich gemacht, die US-Behörde CISA hat sie am selben Tag in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen. Einen Patch gibt es eine Woche später noch nicht – nur einen Workaround.

Worum es geht

Entdeckt hat die Angriffe das Sicherheitsunternehmen Volexity. In der zweiten Dezemberwoche 2023 fielen bei einem Kunden verdächtige Bewegungen im internen Netz auf. Die Spur führte zum Ivanti-Gateway am Internetzugang, von dem aus bereits seit mindestens 3. Dezember 2023 auffällige Aktivität ausging.

Die Eckdaten laut Ivanti, Volexity und CISA:

• Schwachstellen: CVE-2023-46805 ist eine Authentifizierungsumgehung in der Web-Komponente (CVSS 8.2). CVE-2024-21887 ist eine Command Injection (CVSS 9.1), die für sich genommen eine Administrator-Anmeldung voraussetzt. In Kombination fällt diese Hürde weg.
• Betroffen: alle unterstützten Versionen 9.x und 22.x von Ivanti Connect Secure und Ivanti Policy Secure.
• Behoben in: noch keiner Version. Ivanti will Patches gestaffelt ausliefern – die ersten ab der Woche des 22. Januar, die letzten in der Woche des 19. Februar 2024. Bis dahin steht eine Mitigation als XML-Datei im Download-Portal bereit.
• Voraussetzung für den Angriff: ein aus dem Internet erreichbares Gateway. Zugangsdaten braucht der Angreifer nicht – und damit spielt auch die MFA keine Rolle.
• Folge: Ausführung beliebiger Befehle auf dem Gateway und damit Kontrolle über den Zugang ins interne Netz.

Warum das dringend ist

Was Angreifer mit einem übernommenen Gateway anfangen, beschreiben Volexity und Mandiant ausführlich. Sie veränderten eine JavaScript-Datei der Anmeldeseite so, dass jedes eingegebene Passwort an einen fremden Server ging – Mandiant nennt dieses Werkzeug WARPWIRE. Dazu kamen Webshells, gelöschte Logs und manipulierte Ausnahmelisten des Ivanti-eigenen Integrity Checker Tools. Vom Gateway aus bewegten sich die Angreifer per RDP, SMB und SSH weiter, lasen Anmeldedaten aus dem Arbeitsspeicher von Windows-Systemen und kopierten die Active-Directory-Datenbank. Volexity hält einen staatlichen Akteur aus China für wahrscheinlich, Mandiant geht von einer Spionagekampagne aus.

Das Gateway wird so zur Sammelstelle für Zugangsdaten: Wer es kontrolliert, sieht jede Anmeldung im Klartext – auch die Passwörter, mit denen sich Mitarbeiter danach an anderen Systemen anmelden.

Aus gezielten Einzelangriffen ist inzwischen eine Massenkampagne geworden. Am 10. Januar sprach Ivanti noch von weniger als zehn betroffenen Kunden. Laut Volexity begann am 11. Januar die breite Ausnutzung. Bei einem Scan von rund 30.000 Ivanti-Gateways fand das Unternehmen bis zum 14. Januar über 1.700 kompromittierte Geräte – von Kleinunternehmen über Behörden und Telekommunikationsanbieter bis zu Fortune-500-Konzernen. Wichtig dabei: Die Mitigation verhindert neue Angriffe, entfernt aber keinen Angreifer, der bereits auf dem Gerät ist.

Was Sie jetzt tun sollten

1. Mitigation sofort einspielen. Warten Sie nicht auf den Patch. Importieren Sie die von Ivanti bereitgestellte XML-Datei und installieren Sie die Updates, sobald sie für Ihre Version erscheinen.
2. Integrity Checker ausführen. Ivanti stellt dafür ein internes und ein externes Werkzeug bereit. Neue oder veränderte Dateien, die der Checker meldet, gelten laut Volexity als starkes Indiz für eine Kompromittierung. Achtung: Das externe Werkzeug startet das Gerät neu und überschreibt den Arbeitsspeicher – sichern Sie im Verdachtsfall vorher Speicher, Festplatte und Logs für die Forensik.
3. Logs außerhalb des Geräts speichern. Leiten Sie die Logs per Syslog an einen externen Server weiter, denn die Angreifer haben Logs auf dem Gateway gelöscht. Die Exploit-Anfragen selbst tauchen laut Volexity nicht in den Logs auf – ein unauffälliges Log ist also kein Entwarnungssignal.
4. Im Verdachtsfall einen Forensik-Dienstleister hinzuziehen, wie Ivanti empfiehlt. Alle Zugangsdaten, die auf dem Gateway gespeichert sind oder darüber eingegeben wurden, sollten Sie als kompromittiert betrachten und zurücksetzen.
5. Das interne Netz prüfen. Suchen Sie nach ungewöhnlichen Verbindungen, die vom VPN-Gateway selbst ausgehen – etwa RDP- oder SMB-Sitzungen zu Servern, mit denen es normalerweise nichts zu tun hat.

Was das für den Schutz von Firewalls bedeutet

Der Fall zeigt das Grundproblem von VPN-Gateways besonders deutlich: Sie müssen offen im Internet stehen, und eine Lücke darin ist ein direkter Weg ins Netz. Diesmal gibt es nicht einmal einen Patch, sondern über Wochen nur eine Übergangslösung. Und zwischen den ersten gezielten Angriffen und der Massenausnutzung lag nur ein Tag.

NetProtector ist für genau dieses Zeitfenster gedacht. Die Appliance arbeitet in der Leitung vor Firewall und VPN-Gateway und filtert den Traffic, bevor er das Portal erreicht:

• Ein Sensornetz, das Angreifer früh sieht. Honeypots, Cloud-Sensoren und Partner-Sensoren registrieren, von welchen Adressen aus das Internet nach verwundbaren Geräten abgesucht wird. Quellen, die dort als Angreifer auffallen, sperrt NetProtector auch bei Ihnen – bevor sie Ihr Gateway ansprechen.
• Anomalien im eigenen Traffic. Systematische Scans, ungewöhnlich viele Anfragen von einer Quelle oder Zugriffsmuster, die nicht zum normalen Betrieb passen, werden erkannt und gemeldet.
• Weniger Angreifer bis zum Patch. NetProtector ersetzt weder Mitigation noch Update und bereinigt kein bereits kompromittiertes Gerät. Aber es verringert die Zahl der Angreifer, die Ihr Gateway in der kritischen Phase überhaupt erreichen.

Das Sensornetzwerk

Ausgewertete Daten

Deep Packet Inspection (Layer 2–7)NetFlow / IPFIXDNS-Anfragen & -AntwortenTLS-/SSH-Handshake-MetadatenSyslog & Event-Logs

Woher die Daten des Sensornetzes stammen und wie NetProtector ohne Umbau des Netzes vor die Firewall gesetzt wird, zeigen wir auf der Seite So funktioniert NetProtector.

Unsere Einschätzung

Ivanti steht mit diesem Problem nicht allein: VPN-Gateways aller Hersteller sind attraktive Ziele, weil sie offen erreichbar sind und direkt ins Netz führen. Gegen eine Lücke, die vor jeder Anmeldung greift, hilft auch die beste MFA nicht. Entscheidend ist dann, wie schnell eine Mitigation eingespielt wird, ob ein Einbruch auffällt, ob die Logs an einem sicheren Ort liegen – und ob davor eine Schicht sitzt, die bekannte Angreifer gar nicht erst durchlässt.

Quellen

• Volexity: Active Exploitation of Two Zero-Day Vulnerabilities in Ivanti Connect Secure VPN
• Volexity: Ivanti Connect Secure VPN Exploitation Goes Global
• Mandiant: Cutting Edge – Suspected APT Targets Ivanti Connect Secure VPN in New Zero-Day Exploitation
• CISA: Ivanti Releases Security Update for Connect Secure and Policy Secure Gateways
• Help Net Security: Ivanti Connect Secure zero-days exploited by attackers (CVE-2023-46805, CVE-2024-21887)