Drei separate Schwachstellen, von denen jede einen maximalen CVSS-Score von 10,0 aufweist, ermöglichen es jedem im Internet, ohne jegliche Authentifizierung Code auf Ihren ServiceNow-Servern auszuführen. Eine absolute Dringlichkeit für die Tausenden von Organisationen, die die Plattform nutzen.

ServiceNow: drei CVE mit Score 10.0, Remote Code Execution ohne Konto – dringend patchen

Was passiert

Drei unterschiedliche Schwachstellen wurden in ServiceNow aufgedeckt, der IT-Service-Management-Plattform, die in Tausenden von Organisationen weltweit eingesetzt wird. Alle drei erhalten die maximale CVSS-Bewertung von 10.0/10 und ermöglichen eine Remote Code Execution (RCE) ohne vorherige Authentifizierung – in der Sicherheitsbranche als „pre-auth RCE“ bekannt, das gefürchtetste Szenario.

Ein Angreifer kann von Internet aus beliebigen Code auf Ihren ServiceNow-Servern ausführen, ohne über ein Konto auf der Plattform zu verfügen. Die drei Schwachstellen betreffen unterschiedliche Komponenten: Es existieren mehrere Angriffsvektoren.

Warum ServiceNow ein kritisches Ziel ist

ServiceNow ist kein Nischenprodukt: Es handelt sich um eine der am häufigsten eingesetzten ITSM-Plattformen weltweit, die in Großunternehmen, Behörden, Krankenhäusern und Banken genutzt wird. Sie verwaltet IT-Tickets, Assets, HR-Workflows, Compliance – und enthält oft sensible Daten (Anmeldedaten, HR-Informationen, Systemkonfigurationen) und ist gut mit dem internen Netzwerk verbunden.

Ein RCE auf ServiceNow kann potenziell bedeuten: Zugriff auf gespeicherte sensible Daten, lateraler Angriff auf das restliche Netzwerk, langfristige Persistenz, die schwer zu erkennen ist (keine Logs über kompromittierte Authentifizierung). ServiceNow reiht sich damit neben Citrix, Ivanti und MOVEit in die wenig beneidenswerte Liste der massiv ausgenutzten Enterprise-Plattformen nach Veröffentlichung einer CVE ein.

Ransomware-Gruppen scannen diese Ziele aktiv innerhalb weniger Stunden nach der Veröffentlichung. Nicht gepatchte Instanzen werden schnell kompromittiert.

Technische Analyse

Die Details zur Ausnutzung sind teilweise noch nicht öffentlich – ein klassischer Zeitraum für eine verantwortungsvolle Offenlegung. Fest steht: Die Schwachstellen betreffen Endpunkte, die ohne Authentifizierung zugänglich sind (APIs, Verwaltungsinterfaces) und führen zu einer serverseitigen Codeausführung mit hohen Rechten. Drei unterschiedliche Komponenten sind betroffen, was die potenziellen Angriffsflächen vervielfacht.

Was jetzt zu tun ist

Sofortmaßnahmen

1. Wenden Sie die ServiceNow-Patches umgehend an – konsultieren Sie die offizielle Sicherheitsmeldung im Support-Portal. Höchste Priorität P0.
2. Bewerten Sie die Netzwerk-Exposition: Ist Ihre Instanz ohne VPN aus dem Internet erreichbar? Falls ja, setzen Sie umgehend WAF und Netzwerkzugriffsbeschränkungen ein, selbst vor dem Patch.
3. Prüfen Sie kürzliche Zugriffs-Logs: Anfragen an nicht authentifizierte Endpunkte, unerwartete 200-Statuscodes auf API-Routen, ungewöhnlich große Anfragen.
4. Suchen Sie nach IOCs: Neue Dateien in Anwendungsverzeichnissen, unerwartete Prozesse, ausgehende Verbindungen zu unbekannten IPs.
5. Behandeln Sie die Instanz als potenziell kompromittiert, falls sie in den letzten Tagen exponiert und nicht gepatcht war – Forensik vor der Wiederherstellung in den Produktionsbetrieb.
6. Informieren Sie Ihren CISO: Dies ist ein Incident-Response-Fall, keine planbare Wartungsmaßnahme.