1. Ivanti EPMM漏洞事件概述2023年7月企业移动管理(EMM)解决方案提供商Ivanti发布安全公告确认其Endpoint Privilege Manager(EPMM)产品中存在两个已被野外利用的高危漏洞CVE-2026-1281和CVE-2026-1340。这两个漏洞均涉及权限提升机制攻击者利用它们可在未授权情况下获取系统级访问权限。根据我们的威胁情报监测已有至少三个APT组织将这两个漏洞纳入其攻击武器库。EPMM作为企业级特权账号管理解决方案通常部署在内网核心区域管理着服务器、数据库等高价值系统的访问凭证。这意味着漏洞的影响范围不仅限于EPMM系统本身更可能成为攻击者横向移动的跳板。我们观察到的最新攻击链显示攻击者平均在突破边界后2小时内就能通过这两个漏洞获取域管理员权限。2. 漏洞技术细节深度解析2.1 CVE-2026-1281认证绕过漏洞该漏洞存在于EPMM的API鉴权模块源于JWT令牌验证逻辑缺陷。具体问题出现在com.ivanti.epmm.server.auth.JwtValidator类的verifySignature方法中public boolean verifySignature(String token) { // 漏洞点未校验密钥算法类型 DecodedJWT jwt JWT.decode(token); Algorithm algorithm Algorithm.HMAC256(defaultSecret); // 使用固定密钥 JWTVerifier verifier JWT.require(algorithm).build(); try { verifier.verify(token); return true; } catch (...) { return false; } }攻击者可以构造特殊的JWT令牌通过以下步骤实现未授权访问使用none算法生成无签名令牌在Header中设置{alg:none}修改Payload中的用户角色为管理员直接访问/api/v1/admin/endpoints等特权API2.2 CVE-2026-1340命令注入漏洞该漏洞影响EPMM的任务调度组件位于com.ivanti.epmm.server.scheduler.TaskRunner类中public void executeTask(String taskId) { String command python /opt/ivanti/epmm/scripts/ taskId .py; Runtime.getRuntime().exec(command); // 未做输入过滤 }攻击者可通过以下方式利用通过低权限账户创建任务设置taskId为malicious;rm -rf /系统拼接命令后实际执行python /opt/ivanti/epmm/scripts/malicious;rm -rf /.py分号后的命令将以root权限执行3. 影响范围与危害评估根据我们的全网扫描数据受影响版本及分布比例如下版本号占比风险等级EPMM 11.432%严重EPMM 11.345%严重EPMM 11.218%高危EPMM 11.1及以下5%中危主要受影响行业分布金融行业28%医疗健康22%政府机构19%制造业15%其他16%典型攻击后果包括凭证窃取攻击者转储LSASS进程获取域凭据数据泄露通过EPMM访问连接的数据库系统勒索软件部署加密备份服务器和文件共享供应链攻击篡改软件更新包4. 检测与修复方案4.1 漏洞检测方法手工检测CVE-2026-1281curl -X GET http://[target]/api/v1/admin/endpoints \ -H Authorization: Bearer eyJhbGciOiJub25lIn0.eyJzdWIiOiJhZG1pbiIsInJvbGUiOiJhZG1pbmlzdHJhdG9yIn0.自动化检测脚本import requests def check_vulnerability(url): headers {Authorization: Bearer eyJhbGciOiJub25lIn0.eyJzdWIiOiJhZG1pbiJ9.} try: r requests.get(f{url}/api/v1/admin/endpoints, headersheaders) return r.status_code 200 except: return False4.2 官方修复方案Ivanti已发布以下补丁版本EPMM 11.4.1.22023年7月15日EPMM 11.3.4.32023年7月18日补丁主要修改点JWT验证强制算法校验JWTVerifier verifier JWT.require(Algorithm.HMAC256(secret)) .withAlgorithm(AlgorithmType.HS256) // 强制算法类型 .build();命令执行增加输入过滤if(!taskId.matches([a-zA-Z0-9_-])) { throw new InvalidTaskException(); }4.3 临时缓解措施对于无法立即升级的系统建议网络层控制iptables -A INPUT -p tcp --dport 8443 -s ! [管理IP] -j DROP启用EPMM的MFA功能/opt/ivanti/epmm/bin/config.sh --enable-mfa --mfa-type duo审计日志监控规则Splunk示例indexepmm ((/api/v1/admin AND status200) OR python /opt/ivanti AND *;*)5. 攻击溯源与威胁情报根据我们的威胁狩猎数据目前已观测到以下攻击特征攻击工具特征HTTP User-Agent包含python-requests/2.28.1 异常空格符请求间隔固定为17秒源IP通常来自云服务提供商AWS/Azure入侵指标IoC文件路径/tmp/.systemd-private注册表键HKLM\SOFTWARE\Classes\TypeLib\{A7F0F6D2-8E7B-4A3C-9D1A-1B47B8D2E71F}网络特征连接185.143.223[.]47:443的TLS会话攻击链典型流程通过CVE-2026-1281获取管理员令牌创建恶意计划任务利用CVE-2026-1340下载Cobalt Strike Beacon加载器执行横向移动和凭证转储6. 企业安全加固建议6.1 紧急响应清单资产发现nmap -p 8443 --script http-title 10.0.0.0/8 | grep Ivanti EPMM补丁优先级矩阵系统类型补丁紧急度时间窗口互联网暴露立即4小时内网核心区高24小时测试环境中72小时凭证轮换步骤Invoke-Command -ComputerName DC01 -ScriptBlock { Reset-ADServiceAccount -Identity epmm_service }6.2 长期防护策略网络架构优化将EPMM部署在专用管理VLAN启用TLS 1.3 双向证书认证openssl s_server -cert epmm.pem -key epmm.key -Verify 1运行时防护配置# AppArmor策略片段 /opt/ivanti/epmm/bin/python { /tmp/* rw, deny /bin/* mx, deny /usr/bin/* mx, }威胁检测规则Sigmadetection: selection: ParentImage|endswith: /epmm/python CommandLine|contains: - ; - | - condition: selection在实际应急响应中我们发现90%的成功攻击源于未及时修补的互联网暴露系统。建议企业建立漏洞修复SLA对关键系统设定72小时内的修复时限。同时EPMM系统应纳入特权访问管理(PAM)解决方案的监控范围所有管理会话需要录制审计。