Ivanti Xtraction: Pfadkontrollfehler legt EPMM-Connector-Zugangsdaten offen
Zusammenfassung
Ivanti Xtraction vor Version 2026.4 enthält einen Fehler vom Typ External Control of File Name or Path (CWE-73), mit dem ein entfernter, authentisierter Angreifer von der Anwendung erzeugte Anfragen auf einen vom Angreifer kontrollierten Endpunkt umleiten kann. Die Anwendung übermittelt dann EPMM-Connector-Zugangsdaten an diesen Endpunkt, was weiteren Zugriff auf den angebundenen EPMM-Dienst ermöglichen kann. Der CVE-Eintrag bewertet die Schwachstelle mit 9.9 (CRITICAL), die NVD-Analyse war jedoch noch ausstehend und das Herstelleradvisory konnte bei der Recherche nicht verifiziert werden.
Betroffen
- Ivanti Xtraction vor Version 2026.4 (gemäss CNA-Eintrag)
- Die genaue untere Grenze ist unklar: Quellen nennen 2026.2.1 und früher sowie in einzelnen Angaben 2026.3, was dem CNA-Eintrag widerspricht.
Behoben in
- Ivanti Xtraction auf Version 2026.4 oder neuer aktualisieren.
Umgehung
Unbekannt. In den geprüften Quellen ist keine Workaround dokumentiert; das Einspielen des Patches ist die genannte Massnahme.
Ausnutzung
- Der Hersteller gibt laut Sekundärquelle an, keine Kenntnis von Ausnutzung zu haben (nicht gegen das Advisory verifiziert).
- Es wurde kein öffentlicher Exploit und kein Proof of Concept gefunden.
- Der Status im CISA-KEV-Katalog ist zwischen den Quellen widersprüchlich; bitte im KEV-Katalog prüfen.
- Nicht mit der aktiv ausgenutzten Ivanti-Connect-Secure-Schwachstelle CVE-2026-104935 verwechseln.
Unsere Empfehlung
- Prüfen, ob Xtraction im Einsatz ist und ob es an einen EPMM-ähnlichen Dienst angebunden ist.
- Prüfen, ob Xtraction aus unvertrauenswürdigen Netzen erreichbar ist.
- Xtraction auf Version 2026.4 oder neuer aktualisieren.
- Alle vom Connector der Anwendung verwendeten EPMM-Zugangsdaten auch nach dem Patch rotieren, da sie bereits an einen nicht kontrollierten Endpunkt gesendet worden sein könnten.
- Logs auf unerwartete ausgehende Verbindungen von Xtraction prüfen.
- Ivanti-Connect-Secure-Appliances priorisieren, da diese aktiv ausgenutzt werden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Ivanti Security Advisory (not retrieved) hub.ivanti.com
- CVE-2026-106042 record mirror (threatint) cve.threatint.com
- Strix CVE-2026-106042 overview www.strix.ai
- VulDB entry 417791 vuldb.com
- Ivanti Xtraction critical vulnerabilities (SecurityOnline) securityonline.info
- Ivanti Security Advisory AV26-1035 (malware.news) malware.news
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.