Vulnerabilità critiche su Ivanti sfruttate in the wild

PROTO: N240115

CERT Yoroi informa che Ivanti ha reso noti due zero-day di Connect Secure (ICS) e Policy Secure che possono essere sfruttati in the wild e consentire agli aggressori remoti di eseguire comandi arbitrari sui gateway interessati.

Il prodotto Ivanti Connect Secure offre una soluzione VPN SSL conveniente e omogenea per gli utenti che accedono - da remoto e in mobilità - alle risorse aziendali da qualsiasi dispositivo abilitato al web, sempre e ovunque, mentre Ivanti Policy Secure (IPS) è una soluzione di network access control (NAC) che consente l'accesso alla rete solo a utenti e dispositivi autorizzati e protetti. Protegge la rete e protegge le applicazioni mission critical e i dati sensibili attraverso la gestione, la visibilità e il monitoraggio NAC completi.

Nello specifico, le due vulnerabilità si strutturano cosi:

• CVE-2023-46805: Una vulnerabilità di bypass dell'autenticazione nel componente Web di Ivanti ICS 9.x, 22.x e Ivanti Policy Secure consente a un utente remoto di accedere a risorse riservate aggirando i controlli di sicurezza.
• CVE-2024-21887: Una vulnerabilità di command injection nei componenti web di Ivanti Connect Secure (9.x, 22.x) e Ivanti Policy Secure consente a un amministratore autenticato di inviare richieste appositamente create ed eseguire comandi arbitrari sul dispositivo.

Quando si concatenano i due zero-day, gli aggressori possono eseguire comandi arbitrari su tutte le versioni supportate dei prodotti interessati, così come riportato da Mandiant e Volexity.

Si riscontrano prove di tentativi di manipolazione del controllore di integrità interno (TIC) di Ivanti da parte di soggetti malintenzionati. Per prudenza, si raccomanda a tutti i clienti di eseguire il TIC esterno.

Il TIC è un'istantanea dello stato attuale dell'appliance e non è detto che riesca a rilevare l'attività degli aggressori se questi hanno ripristinato l'appliance in uno stato pulito. Il TIC non esegue la scansione di malware o di altri indicatori di compromissione. Come best practice, si consiglia ai clienti di eseguire sempre il TIC insieme al monitoraggio continuo, come si legge all’interno dell’advisory dedicata alla mitigazione momentanea.

"Se la CVE-2024-21887 viene utilizzata insieme alla CVE-2023-46805, lo sfruttamento non richiede l'autenticazione e consente a un attore di minacce di creare richieste dannose ed eseguire comandi arbitrari sul sistema", ha dichiarato Ivanti.

L'azienda afferma che le patch saranno disponibili in modo scaglionato, con "la prima versione che sarà disponibile per i clienti la settimana del 22 gennaio e la versione finale che sarà disponibile la settimana del 19 febbraio".

Fino a quando non saranno disponibili le patch, gli zero-days possono essere mitigati importando il file mitigation.release.20240107.1.xml disponibile per i clienti tramite il portale di download di Ivanti.

Il vendor però sottolinea che, data la gravità dell’attacco, l'accesso pubblico all’avviso contenente tutti i dettagli della cve è privato, per dare ai clienti più tempo per proteggere i loro dispositivi prima che gli attori delle minacce possano creare exploit utilizzando le informazioni aggiuntive; pertanto, sarà accessibile solo a chi dispone di un accesso con credenziali al portale di ivanti.

La gravità del possibile impatto di questa vulnerabilità, secondo ricerche del nostro team di intelligence, è data dal fatto che ci siano stati numerosi tentativi di exploit in the wild, oltre l’elevata diffusione delle tecnologie che, come riportato su shodan,  indicano la presenza di oltre 15 mila dispositivi esposti online vulnerabili.

A questo proposito Yoroi suggerisce di tenere alto il monitoraggio e di eseguire le linee guida emanante e successivamente il patching alle versioni suggerite dal vendor.

Yoroi consiglia infine di mantenere alto il livello di consapevolezza degli utenti, avvisandoli periodicamente delle minacce in corso e di utilizzare un team di esperti per salvaguardare la sicurezza del perimetro “cyber”. Per avere un indice di minaccia in tempo reale si consiglia di visitare il seguente link: Yoroi cyber security Index

Riferimenti Esterni

• https://forums.ivanti.com/s/article/KB-CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
• https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US
• https://www.bleepingcomputer.com/news/security/ivanti-warns-of-connect-secure-zero-days-exploited-in-attacks/
• https://www.volexity.com/blog/2024/01/10/active-exploitation-of-two-zero-day-vulnerabilities-in-ivanti-connect-secure-vpn/
• https://www.mandiant.com/resources/blog/suspected-apt-targets-ivanti-zero-day