SecBoard
Zurück zur CVE-Übersicht

CVE-2024-9379

MEDIUM(6.5)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H

Risk Signal Score59/100 — HOCH
  • CVSS 6.5 — Mittel
  • EPSS 44%
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

43.8%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

6.5

Technische Schwere

SecBoard-Einordnung

CVE-2024-9379 betrifft die Ivanti Endpoint Manager Cloud Services Appliance (CSA) vor Version 5.0.2. Es handelt sich um eine SQL-Injection-Schwachstelle in der Admin-Webkonsole. Ein entfernter, authentifizierter Angreifer mit Administratorrechten kann beliebige SQL-Anweisungen ausführen. Dies kann zu Datenmanipulation oder -exfiltration führen.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

SQL injection in the admin web console of Ivanti CSA before version 5.0.2 allows a remote authenticated attacker with admin privileges to run arbitrary SQL statements.

Erkennung & Indikatoren

Ausnutzung

Aktiv ausgenutzt (CISA KEV). CISA hat diese Schwachstelle in ihrem Known Exploited Vulnerabilities Catalog aufgeführt, was bedeutet, dass sie aktiv ausgenutzt wird.

Behobene Versionen

  • 5.0.2

Threat-Hunting-Queries

Die Schwachstelle ist eine SQL-Injection in der Admin-Webkonsole. Es sollte nach ungewöhnlichen oder fehlerhaften SQL-Abfragen gesucht werden, die von der Admin-Konsole ausgehen, insbesondere solche, die über die normalen Betriebsfunktionen hinausgehen.

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessCommandLine contains "sql" and InitiatingProcessCommandLine contains "--" and InitiatingProcessFileName =~ "w3wp.exe" // Beispiel: IIS Worker Process, der die Webkonsole hostet
| where InitiatingProcessCommandLine matches regex @'(?i)(select|insert|update|delete|drop|union|xp_cmdshell)'
| summarize count() by DeviceName, InitiatingProcessCommandLine, InitiatingProcessParentFileName, InitiatingProcessFileName

Splunk SPL

index=web sourcetype=iis (cs_uri_query=*sql* OR cs_uri_query=*union* OR cs_uri_query=*select*) (cs_uri_query=*--* OR cs_uri_query=*/*) | table _time, c_ip, cs_uri_stem, cs_uri_query, sc_status

Sigma

title: Ivanti CSA SQL Injection Attempt
id: 00000000-0000-0000-0000-000000000000
status: experimental
description: Detects potential SQL injection attempts against Ivanti CSA admin web console.
author: SecBoard
date: 2024/11/20
logsource:
  category: webserver
  service: iis
detection:
  selection:
    cs_uri_query|contains:
      - 'sql'
      - 'union'
      - 'select'
      - 'insert'
      - 'update'
      - 'delete'
      - 'drop'
      - 'xp_cmdshell'
  condition: selection
fields:
  - c_ip
  - cs_uri_stem
  - cs_uri_query
level: high

Elastic ES|QL

FROM logs-iis-*
| WHERE url.query : ("sql", "union", "select", "insert", "update", "delete", "drop", "xp_cmdshell")
| SELECT @timestamp, source.ip, url.original, url.query, http.response.status_code

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:ivanti:endpoint_manager_cloud_services_appliance:*:*:*:*:*:*:*:*

Referenzen