Connect Secure No More: Ivantis nul-dages sårbarheder (CVE-2024-21887 og CVE-2023-46805)

To kædebare zero-day-sårbarheder står over for Ivanti Connect Secure (ICS) og Ivanti Policy Secure (IPS): CVE-2023-46805 og CVE-2024-21887. Alle understøttede versioner af Ivanti Connect Secure og Policy Secure Gateways er i øjeblikket i fare, og Ivanti har bekræftet, at kunder har oplevet aktiv udnyttelse. ICS var tidligere kendt som Pulse Connect Secure.

ICS tilbyder en VPN-gateway (Virtual Private Network), mens IPS giver netværksadgangskontrol. Da begge produkter giver autoriserede brugere adgang til følsomme data, er eventuelle sårbarheder, der kan udnyttes til at omgå disse kontroller, en stor sikkerhedsrisiko.

Hvad er CVE-2023-46805 og CVE-2024-21887?

CVE-2023-46805 er en sårbarhed i forbindelse med omgåelse af godkendelse, der gør det muligt for en angriber at omgå godkendelseskontrol. CVE-2024-21887 er en sårbarhed i forbindelse med indsprøjtning af kommandoer, der gør det muligt for en angriber at fungere som en autentificeret administrator og opnå fjernudførelse af kode (RCE) via særligt fremstillede vilkårlige kommandoer. Ved at kombinere disse to sårbarheder kan angribere opnå uautoriseret kodeudførelse, hvilket fører til dataeksfiltrering (herunder brugeroplysninger og konfigurationsdata), konfigurationsændringer, filændring, webshell-implementering og mere.

Ivanti arbejder i øjeblikket sammen med Volexity og Mandiant om sikkerhedsresponsen, da begge organisationer har observeret aktiv udnyttelse. I deres hændelsesrespons efter cyberangreb bemærkede Volexity, at angriberen brugte begge sårbarheder til at opnå fuld adgang til netværket gennem lateral bevægelse og indsamling af legitimationsoplysninger. Mandiant har identificeret fem malware-familier, der er implementeret af trusselsaktøren.

Begge CVE'er er i øjeblikket ved at blive analyseret for National Vulnerability Database og fremhæver endnu ikke, hvilke Common Weakness Enumerations (CWE'er) der er til stede i sårbarheden, selvom HackerOne leverede indledende Common Vulnerability Scoring System (CVSS)-score for hver CVE ved nummerering. CVE-2024-21887, sårbarheden i forbindelse med kodeudførelse, har en CVSS-score på 9,1, en kritisk sværhedsgrad, hvor CVE-2023-46805 har en høj sværhedsgrad på 8,2.

Cybersecurity and Infrastructure Security Agency (CISA) tilføjede begge sårbarheder til kataloget over kendte udnyttede sårbarheder i begyndelsen af januar 2024. Føderale agenturnetværk skal handle inden udgangen af januar.

Hvem påvirkes af Ivantis nul-dages sårbarheder?

Ivanti udtalte, at alle understøttede versioner påvirkes i både deres sikkerhedsrådgivning og deres supportartikel. Enhver iteration af version 9 og 22 inkluderer denne sårbarhed. Ivantis supportartikel indikerer, at senere versioner og Ivanti ZTA-controlleren vil modtage patches gennem slutningen af januar og midten af februar.

Nogle versioner er blevet udfaset på grund af support ved ophør af levetid eller teknisk ophør. Du kan gennemgå Ivantis EOL-politik og Connect-Secure-versionsversionen for at afgøre, om din brug af Connect Secure-værktøjet ikke vil modtage sikkerhedsopdateringer.

Denne duo af zero-days er ikke den eneste risiko på Ivantis system, da virksomheden stod over for endnu et sæt kritiske sårbarheder, der var kædet for at udnytte Ivanti Endpoint Manager Mobile i slutningen af 2023. Ivanti Connect Secure har tidligere også været målrettet med sårbarheder i 2019, 2020 og 2021.

UpGuard vedligeholder et sårbarhedsbibliotek, der indeholder tusindvis af kendte cybersikkerhedssårbarheder. Vi overvåger i øjeblikket situationen for at få flere oplysninger, da vi tilføjer Ivanti Connect Secure zero-day til UpGuards sårbarhedsbibliotek.

Hvis du eller en leverandør bruger Ivanti Connect Secure eller Policy Secure, bør du afgøre, om det er blevet udnyttet, og forberede dig på dine næste skridt omkring afbødning og hændelsesrespons. Du kan sende en afhjælpningsanmodning i UpGuard, som gør det muligt for teknologiejeren at hævde den aktuelle status for værktøjet.

Gør noget for at sikre ICS og IPS

Selvom der endnu ikke er en fuld sikkerhedsopdatering til at afhjælpe disse sårbarheder, har Ivanti udgivet en afhjælpningsrettelse, der kan hentes fra downloadportalen ([.rt-script]mitigation.release.20240107.1.xml[.rt-script]). I henhold til Ivantis anbefalinger skal du sikre dig, at du opgraderer til den nyeste version, før du anvender afhjælpningsrettelsen. Denne patch er kun en løsning og reparerer ikke systemer, der allerede er blevet kompromitteret.

Vurder, om dit system er blevet kompromitteret:

• Undersøg netværkstrafik for uventet udgående trafik fra VPN.
• Evaluer uventet indgående netværkstrafik, herunder unormal scanning eller SSH-forsøg.
• Gennemgå dine VPN-enhedslogfiler for eventuelle ikke-godkendte anmodninger. Hvis logfiler er blevet slettet eller på anden måde deaktiveret uden tilladelse, indikerer det sandsynlig kompromittering.
• Undersøg eventuelle uoverensstemmelser i filsystemet, der er identificeret af værktøjet Integritetskontrol.
• Sammenlign eventuelle mistænkelige filer med indikatorerne for kompromittering observeret i Volexitys blog og Mandiants trusselsefterretninger.

Du kan også køre Ivantis Integrity Checker Tool (ICT) for at vurdere dit værktøjs filsystemintegritet og identificere ændrede filer. Ivanti anbefaler dog at bruge den eksterne version af værktøjet, da den interne version kan manipuleres af angribere. Da dette værktøj genstarter systemet, bør du udføre retsmedicinske analyser for alle IOC'er, før du kører integritetskontrollen.