Una vulnerabilidad de server-side request forgery (SSRF) fue descubierta en los productos Ivanti Connect Secure y Policy Secure. La vulnerabilidad se identifica como CVE-2024-21893, con una puntuación CVSS de 8.2.
Vulnerabilidades afectadas
La vulnerabilidad también está presente en el componente SAML de los productos mencionados y en Neurons for ZTA. CVE-2024-21893 es un alias de CVE-2023-36661, una vulnerabilidad SSRF presente en la biblioteca Shibboleth XMLTooling.
Corrección y uso de componentes desactualizados
La vulnerabilidad CVE-2023-36661 fue corregida por los mantenedores en junio de 2023. Ivanti parece haber utilizado componentes open-source desactualizados en sus dispositivos VPN, lo que amplía la superficie de ataque.
Explotación y ataques observados
Rapid7 publicó una prueba de concepto (PoC) que combina CVE-2024-21893 con CVE-2024-21887 para lograr ejecución remota de código sin autenticación. Mandiant identificó varios actores de amenazas aprovechando las vulnerabilidades CVE-2023-46805 y CVE-2024-21887 para implementar web shells personalizados como BUSHWALK, CHAINLINE, FRAMESTING y LIGHTWIRE.
Exposición de dispositivos
Palo Alto Networks Unit 42 observó 28.474 instancias expuestas de Ivanti Connect Secure y Policy Secure en 145 países entre el 26 y el 30 de enero de 2024. Se detectaron 610 instancias comprometidas en 44 países hasta el 23 de enero de 2024.
Acciones recomendadas
CISA requiere dejar de utilizar el servicio de Ivanti, desconectando todas las instancias de Ivanti Connect Secure y Policy Secure si se utilizaban. Ivanti lanzó una segunda mitigación y comenzó a publicar parches oficiales para abordar las vulnerabilidades identificadas.