Ivanti Connect Secure: Rechteerweiterung zu root durch DSCache-Vertrauen

Zusammenfassung

Ivanti-Connect-Secure-VPN-Geräte vertrauen im dsinvoked-Broker unsicher auf DSCache-Konfigurationsdaten. Ein Angreifer mit lokalem Zugriff und niedrigen Rechten kann so Root-Rechte erlangen und das Gerät vollständig übernehmen. Die Schwachstelle wird in freier Wildbahn als zweite Stufe einer Kette mit CVE-2026-104935 ausgenutzt, einer Umgehung der Authentisierung und Remote Code Execution ohne Anmeldung, weshalb das Gerät selbst gefährdet ist.

Betroffen

• Ivanti Connect Secure 22.8R2.4 (gemäss CVE-Eintrag)
• Weitere betroffene Versionen werden von Sekundärquellen widersprüchlich angegeben und müssen bei Ivanti bestätigt werden
• Unbekannt: genauer betroffener Versionsbereich

Behoben in

• Unbekannt. Ivanti hat am 29. Oktober 2026 Patches veröffentlicht, aber keine Quelle nennt den korrigierten Build für CVE-2026-111357.
• Die korrigierte Version ist im Advisory von Ivanti zu bestätigen, bevor Massnahmen ergriffen werden.

Umgehung

• Vom Hersteller dokumentierte Workaround-Massnahme ist nicht bekannt.
• Die Wiederherstellungsempfehlungen und der Support-Kanal von Ivanti dienen als Referenz.

Ausnutzung

• Wird in freier Wildbahn als Teil einer Kette mit CVE-2026-104935 aktiv ausgenutzt (laut Volexity, Oktober 2026).
• Der CVSS-Vektor bewertet die Angriffskomplexität als hoch und setzt niedrige Rechte und lokalen Zugriff voraus (AV:L/AC:H/PR:L).
• Gemäss CVE-Daten in der CISA-KEV-Liste mit Aufnahmedatum 2026-10-30; dies konnte nicht unabhängig überprüft werden.
• Öffentlich verfügbarer Exploit-Code ist nicht bestätigt.

Unsere Empfehlung

• Die korrigierte Version von Ivanti Connect Secure installieren, sobald sie im Advisory von Ivanti bestätigt ist, und ebenfalls den Patch für CVE-2026-104935 einspielen.
• Das Gerät als potenziell kompromittiert behandeln: auf Anzeichen einer Kompromittierung und seitliche Bewegungen vom VPN-Gerät aus prüfen und bei Bedarf forensische Unterstützung beiziehen.
• Auf dem Gerät gespeicherte oder davon erreichbare Zugangsdaten und Geheimnisse prüfen und bei Verdacht auf Kompromittierung erneuern.
• VPN-Protokolle überwachen und den administrativen Zugriff auf das Gerät einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Ivanti Security Advisory CVE-2026-104935 hub.ivanti.com
• Volexity: Chained exploitation of Ivanti Connect Secure zero-days www.volexity.com
• CVE record mirror (threatint) cve.threatint.com
• VulDB entry 420936 vuldb.com
• GBHackers: Ivanti Connect Secure zero-day vulnerabilities gbhackers.com
• CyberPress: Ivanti Connect Secure zero-day vulnerabilities cyberpress.org
• SecurityOnline: Ivanti Connect Secure vulnerability exploited securityonline.info
• watchTowr FAQ CVE-2026-104935 watchtowr.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:10.