Connect Secure No More: Ivantin nollapäivähaavoittuvuudet (CVE-2024-21887 ja CVE-2023-46805)

Ivanti Connect Secure (ICS) ja Ivanti Policy Secure (IPS) kohtaavat kaksi ketjutettavaa nollapäivähaavoittuvuutta: CVE-2023-46805 ja CVE-2024-21887. Kaikki Ivanti Connect Secure- ja Policy Secure Gateway -yhdyskäytävien tuetut versiot ovat tällä hetkellä vaarassa, ja Ivanti on vahvistanut, että asiakkaat ovat kokeneet aktiivista hyväksikäyttöä. ICS tunnettiin aiemmin nimellä Pulse Connect Secure.

ICS tarjoaa virtuaalisen yksityisverkon (VPN) yhdyskäytävän, kun taas IPS tarjoaa verkon kulunvalvonnan. Koska molemmat tuotteet antavat valtuutetuille käyttäjille pääsyn arkaluonteisiin tietoihin, kaikki haavoittuvuudet, joita voidaan hyödyntää näiden kontrollien ohittamiseen, ovat merkittävä tietoturvariski.

Mitä ovat CVE-2023-46805 ja CVE-2024-21887?

CVE-2023-46805 on todennuksen ohitushaavoittuvuus, jonka avulla hyökkääjä voi kiertää todennustarkistukset. CVE-2024-21887 on komennon injektiohaavoittuvuus, jonka avulla hyökkääjä voi toimia todennettuna järjestelmänvalvojana ja saavuttaa koodin etäsuorituksen (RCE) erityisesti muotoiltujen mielivaltaisten komentojen avulla. Yhdistämällä nämä kaksi haavoittuvuutta hyökkääjät voivat suorittaa todentamattoman koodin, mikä johtaa tietojen suodattamiseen (mukaan lukien käyttäjän tunnistetiedot ja määritystiedot), kokoonpanomuutoksiin, tiedostojen muokkaamiseen, webshellin käyttöönottoon ja muuhun.

Ivanti työskentelee tällä hetkellä Volexityn ja Mandiantin kanssa turvallisuustoimien parissa, koska molemmat organisaatiot ovat havainneet aktiivista hyväksikäyttöä. Kyberhyökkäysten jälkeisessä tapahtumavastauksessaan Volexity totesi, että hyökkääjä käytti molempia haavoittuvuuksia saadakseen täyden pääsyn verkkoon sivuttaisliikkeen ja tunnistetietojen keräämisen avulla. Mandiant on tunnistanut viisi uhkatoimijan käyttämää haittaohjelmaperhettä.

Molempia CVE:itä analysoidaan parhaillaan National Vulnerability Database -tietokantaa varten, eikä se vielä korosta, mitkä yleiset heikkouksien luetteloinnit (CWE) ovat haavoittuvuudessa, vaikka HackerOne toimitti alustavat Common Vulnerability Scoring System (CVSS) -pisteet kullekin CVE:lle numeroinnin yhteydessä. Koodin suorittamisen haavoittuvuuden CVE-2024-21887:n CVSS-pistemäärä on 9,1, kriittinen vakavuus, ja CVE-2023-46805:n korkea vakavuusaste on 8,2.

Kyberturvallisuus- ja infrastruktuuriturvallisuusvirasto (CISA) lisäsi molemmat haavoittuvuudet tunnettujen hyväksikäytettyjen haavoittuvuuksien luetteloon tammikuun 2024 alussa. Liittovaltion virastojen verkostojen on ryhdyttävä toimiin tammikuun loppuun mennessä.

Keneen Ivantin nollapäivähaavoittuvuudet vaikuttavat?

Ivanti ilmoitti, että se vaikuttaa kaikkiin tuettuihin versioihin sekä tietoturvatiedotteessa että tukiartikkelissaan. Kaikki versioiden 9 ja 22 iteraatiot sisältävät tämän haavoittuvuuden. Ivantin tukiartikkeli osoittaa, että myöhemmät versiot ja Ivanti ZTA -ohjain saavat korjauksia tammikuun lopulla ja helmikuun puolivälissä.

Jotkin versiot ovat vanhentuneet käyttöiän tai suunnittelun päättymisen tuen vuoksi. Voit tarkistaa Ivantin käyttöiän päättymiskäytännön ja Connect-Secure-julkaisun versiotiedot selvittääksesi, eikö Connect Secure -työkalun käyttösi saa tietoturvapäivityksiä.

Tämä nollapäivien kaksikko ei ole ainoa riski Ivantin järjestelmässä, sillä yritys kohtasi vuoden 2023 lopulla toisen joukon kriittisiä haavoittuvuuksia, jotka oli ketjutettu hyödyntämään Ivanti Endpoint Manager Mobilea. Ivanti Connect Secure on ollut myös aiemmin kohteena, ja haavoittuvuuksia oli vuosina 2019, 2020 ja 2021.

UpGuard ylläpitää haavoittuvuuskirjastoa, joka sisältää tuhansia tunnettuja kyberturvallisuuden haavoittuvuuksia. Seuraamme parhaillaan tilannetta saadaksemme lisätietoja, kun lisäämme Ivanti Connect Secure -nollapäivän UpGuardin haavoittuvuuskirjastoon.

Jos sinä tai toimittaja käytätte Ivanti Connect Securea tai Policy Securea, sinun tulee selvittää, onko sitä hyödynnetty, ja valmistautua seuraaviin vaiheisiin lieventämisessä ja tapahtumiin reagoinnissa. Voit lähettää UpGuardissa korjauspyynnön, jonka avulla teknologian omistaja voi varmistaa työkalun nykyisen tilan.

Ryhdy toimiin ICS:n ja IPS:n suojaamiseksi

Vaikka näiden haavoittuvuuksien korjaamiseksi ei ole vielä täydellistä tietoturvapäivitystä, Ivanti on julkaissut lievennyskorjauksen, joka voidaan hakea latausportaalista ([.rt-script]mitigation.release.20240107.1.xml[.rt-script]). Varmista Ivantin suositusten mukaisesti, että päivität uusimpaan versioon ennen lievennyskorjauksen asentamista. Tämä korjaustiedosto on vain kiertotapa, eikä se korjaa järjestelmiä, jotka ovat jo vaarantuneet.

Arvioi, onko järjestelmäsi vaarantunut:

• Tarkista verkkoliikenne odottamattoman lähtevän liikenteen varalta VPN:stä.
• Arvioi odottamaton saapuva verkkoliikenne, mukaan lukien poikkeavat tarkistukset tai SSH-yritykset.
• Tarkista VPN-laitteesi lokit todentamattomien pyyntöjen varalta. Jos lokit on pyyhitty tai muuten poistettu käytöstä ilman lupaa, se tarkoittaa todennäköistä vaarantumista.
• Tutki kaikki Integrity Checker Tool -työkalun havaitsemat tiedostojärjestelmän epäjohdonmukaisuudet.
• Vertaa epäilyttäviä tiedostoja Volexityn blogissa ja Mandiantin uhkatiedustelussa havaittuihin vaarantumisindikaattoreihin.

Voit myös suorittaa Ivantin Integrity Checker Tool (ICT) -työkalun arvioidaksesi työkalusi tiedostojärjestelmän eheyden ja tunnistaaksesi muokatut tiedostot. Ivanti suosittelee kuitenkin työkalun ulkoisen version käyttöä, koska hyökkääjät voivat manipuloida sisäistä versiota. Koska tämä työkalu käynnistää järjestelmän uudelleen, sinun tulee suorittaa rikostekninen analyysi kaikille IOC:ille ennen eheystarkistuksen suorittamista.