Ivanti Connect Secure: tri ranjivosti nultog dana, dve zakrpe tek stigle
Bezbednosna firma Volexity je 13. oktobra saopštila da je napadač spojio tri ranjivosti nultog dana u VPN uređaju Ivanti Connect Secure i bez prijave dobio najviša administratorska ovlašćenja. Ivanti je objavio zakrpe za dve, dok se za treću tek očekuje.
Napad je 13. oktobra opisala bezbednosna firma Volexity, koja je ranjivosti prijavila Ivantiju. Na potpuno ažuriranom uređaju jednog korisnika, sa verzijom 22.8R2.4, napadač UTA0576 počeo je zloupotrebu 3. oktobra. Ivanti je istog dana saopštio da je svestan ograničene zloupotrebe u stvarnim napadima.
Lanac čine zaobilaženje provere identiteta i ranjivost za izvršavanje koda na daljinu, zajedno označene kao CVE-2026-104935, i treća ranjivost za podizanje ovlašćenja do najvišeg administratorskog nivoa. Za prve dve su objavljene zakrpe, dok za treću još nema ispravke. Kao nepogođene verzije u CVE zapisu navedene su 22.8R2.5, 25.1.3.0 i 25.1.3.1.
Prema Volexityju, napadač je u istraženom incidentu ukrao sačuvane podatke za prijavu, uključujući LDAP naloge, i pokretao napade pogađanja lozinki na Active Directory. Nije ostavio trajni backdoor niti veb ljusku, već je za svaku komandu ponovo prolazio kroz ceo lanac. Motiv je, prema proceni niske pouzdanosti, kriminalne prirode. Nije saopšteno koliko je korisnika napadnuto. Za korisnike koji ne mogu odmah da nadograde nije navedena privremena mera, niti je poznato da li nadogradnja uklanja već ostvaren pristup.
Šta uraditi - Proveriti verziju Connect Secure uređaja. Ako nije među nepogođenim verzijama, odmah nadograditi. - Pokrenuti Integrity Checker Tool, ali ne oslanjati se samo na njega jer ne vidi ovaj lanac. - Ako postoji sumnja na upad, uraditi forenzičku analizu mreže i memorije. - Pratiti Ivantijevo saopštenje do objave zakrpe za treću ranjivost.
Izvori
Uočili ste grešku? Pišite na redakcija@webjunkie.net. Kako ispravljamo tekstove