Kritische Sicherheitslücken erschüttern Ivanti Sentry
Zwei kritische Sicherheitslücken in Ivantis VPN-Gateway-Lösung Sentry sorgen für erhebliche Verwirrung in der IT-Sicherheitsbranche. Während die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) vor aktiven Angriffen warnt und die Schwachstellen in ihren Katalog bekannter ausgenutzer Vulnerabilitäten aufgenommen hat, spielt Ivanti selbst die Bedrohungslage herunter.
Die betroffenen Sicherheitslücken erreichen beide die höchstmögliche Risikobewertung im CVSS-System. CVE-2026-10520 erhält einen CVSS-Score von 10.0 und ermöglicht es Angreifern, ohne vorherige Anmeldung Befehle ins Betriebssystem zu schmuggeln und beliebigen Code mit root-Rechten auszuführen. Die zweite Schwachstelle CVE-2026-10523 mit einem CVSS-Score von 9.9 erlaubt die Umgehung der Authentifizierung und das Erstellen beliebiger Administratorkonten.
Betroffene Systeme und verfügbare Updates
Die Sicherheitslücken betreffen Ivanti Sentry in den Versionen 10.5.1, 10.6.1, 10.7.0 und älteren Versionen. Das Unternehmen hat bereits Patches bereitgestellt: Updates auf die Versionen 10.5.2, 10.6.2 und 10.7.1 schließen beide Schwachstellen.
Besonders problematisch ist die Tatsache, dass bereits Proof-of-Concept-Exploits öffentlich verfügbar sind. Die IT-Sicherheitsforscher der watchTowr Labs haben einen funktionsfähigen Exploit veröffentlicht, der den Missbrauch beider Lücken demonstriert. Dies senkt die Hürde für potenzielle Angreifer erheblich.
Widersprüchliche Einschätzungen zur Bedrohungslage
Während mehrere IT-Sicherheitsunternehmen und die CISA vor aktiven Angriffen warnen, hält Ivanti an der Position fest, dass keine echten Angriffe stattgefunden haben. In der Sicherheitsmitteilung des Unternehmens heißt es, dass Ivanti von keinen Missbrauchsfällen vor der Veröffentlichung der Meldung wisse. Die CISA habe die Lücke nur aufgrund von Angriffsversuchen auf Honeypots in den KEV-Katalog aufgenommen.
Ivanti argumentiert weiter, dass der Missbrauch der kritischeren Lücke CVE-2026-10520 Zugriff auf den Managementport 8443 benötige. Management-Interfaces sollten grundsätzlich nicht über das Internet erreichbar sein, auch wenn Honeypots solche Fehlkonfigurationen simulieren.
Erste Kompromittierungen bereits bestätigt
Die Einschätzung von Ivanti dürfte jedoch bereits überholt sein. Die Shadowserver Foundation berichtet über ihre Netzwerk-Scans von 19 verwundbaren Instanzen, von denen mindestens zwei bereits mit Backdoors kompromittiert wurden. Die Forscher gehen davon aus, dass auch die anderen gefundenen Instanzen inzwischen Angreifern zum Opfer gefallen sind.
Diese Entwicklung unterstreicht die Dringlichkeit der Situation und widerspricht der verharmlosenden Darstellung des Herstellers. Die Rapid7-Forscher warnen ebenfalls vor wahrscheinlichen Angriffen, da in der Vergangenheit bereits mehrere Sentry-Lücken im CISA-Katalog der missbrauchten Schwachstellen gelandet sind.
Parallele Bedrohungen in anderen Ivanti-Produkten
Zusätzlich zu den Sentry-Problemen wurden weitere Sicherheitslücken in Ivantis Endpoint Manager Mobile bekannt. Diese gelten als hohes Risiko und erfordern ebenfalls schnelle Gegenmaßnahmen durch Administratoren.
Empfehlungen für Administratoren
Ungeachtet der widersprüchlichen Einschätzungen zur aktuellen Bedrohungslage sollten sich Administratoren nicht von der Beschwichtigung abhalten lassen. Die verfügbaren Updates sollten schnellstmöglich installiert werden, da die Schwachstellen eine vollständige Kompromittierung der betroffenen Systeme ermöglichen.
Besonders wichtig ist dabei die Überprüfung der Netzwerkkonfiguration. Auch wenn Ivanti argumentiert, dass Management-Interfaces nicht über das Internet erreichbar sein sollten, zeigt die Realität, dass solche Fehlkonfigurationen häufig vorkommen. Organisationen sollten daher:
- Sofortige Installation der verfügbaren Patches
- Überprüfung der Netzwerksegmentierung und Firewall-Regeln
- Monitoring auf verdächtige Aktivitäten
- Regelmäßige Sicherheitsüberprüfungen der Infrastruktur
Ausblick und Lektionen
Der Fall Ivanti Sentry verdeutlicht die Herausforderungen bei der Bewertung von Cybersicherheitsbedrohungen. Während Hersteller oft dazu neigen, die Gefährdung ihrer Produkte herunterzuspielen, zeigt die Praxis, dass kritische Schwachstellen mit öffentlich verfügbaren Exploits schnell ausgenutzt werden.
Die unterschiedlichen Einschätzungen zwischen CISA, unabhängigen Sicherheitsforschern und dem Hersteller unterstreichen die Bedeutung einer vielschichtigen Informationsbeschaffung bei Sicherheitsentscheidungen. Administratoren sollten sich nicht allein auf Herstelleraussagen verlassen, sondern auch externe Quellen und Threat Intelligence berücksichtigen.
Für die Zukunft bleibt abzuwarten, wie sich die Situation entwickelt und ob weitere Kompromittierungen bekannt werden. Die bereits bestätigten Backdoor-Installationen lassen jedoch wenig Zweifel an der Ernsthaftigkeit der Bedrohung.
