Connect Secure No More: Ivanti'nin Sıfırıncı Gün Güvenlik Açıkları (CVE-2024-21887 ve CVE-2023-46805)
İki zincirlenebilir sıfır gün güvenlik açığı Ivanti Connect Secure (ICS) ve Ivanti Policy Secure (IPS) ile karşı karşıyadır: CVE-2023-46805 ve CVE-2024-21887. Ivanti Connect Secure ve Policy Secure Ağ Geçitlerinin desteklenen tüm sürümleri şu anda risk altındadır ve Ivanti, müşterilerin aktif istismar yaşadığını doğrulamıştır. ICS daha önce Pulse Connect Secure olarak biliniyordu.
ICS, bir sanal özel ağ (VPN) ağ geçidi sunarken, IPS ağ erişim kontrolü sağlar. Her iki ürün de yetkili kullanıcıların hassas verilere erişmesine izin verdiğinden, bu kontrolleri atlamak için yararlanılabilecek herhangi bir güvenlik açığı büyük bir güvenlik riskidir.
CVE-2023-46805 ve CVE-2024-21887 nedir?
CVE-2023-46805, bir saldırganın kimlik doğrulama kontrollerini atlatmasına izin veren bir kimlik doğrulama atlama güvenlik açığıdır. CVE-2024-21887, bir saldırganın kimliği doğrulanmış bir yönetici gibi davranmasına ve özel hazırlanmış rastgele komutlar aracılığıyla uzaktan kod yürütme (RCE) gerçekleştirmesine izin veren bir komut enjeksiyonu güvenlik açığıdır. Saldırganlar, bu iki güvenlik açığını birleştirerek kimliği doğrulanmamış kod yürütülmesi gerçekleştirebilir ve bu da veri hırsızlığına (kullanıcı kimlik bilgileri ve yapılandırma verileri dahil), yapılandırma değişikliklerine, dosya değişikliğine, web kabuğu dağıtımına ve daha fazlasına yol açabilir.
Ivanti şu anda Volexity ve Mandiant ile güvenlik yanıtı üzerinde çalışıyor, çünkü her iki kuruluş da aktif istismar gözlemledi. Volexity, siber saldırıların ardından verdikleri olay yanıtında, saldırganın yanal hareket ve kimlik bilgisi toplama yoluyla ağa tam erişim elde etmek için her iki güvenlik açığını da kullandığını kaydetti. Mandiant, tehdit aktörü tarafından dağıtılan beş kötü amaçlı yazılım ailesi belirledi.
Her iki CVE de şu anda Ulusal Güvenlik Açığı Veritabanı için analizden geçmektedir ve güvenlik açığında hangi yaygın zayıflık numaralandırmalarının (CWE'ler) mevcut olduğunu henüz vurgulamamaktadır, ancak HackerOne, numaralandırma üzerine her CVE için ilk Ortak Güvenlik Açığı Puanlama Sistemi (CVSS) puanlarını sağlamıştır. Kod yürütme güvenlik açığı olan CVE-2024-21887, kritik bir önem derecesi olan 9.1 CVSS puanına sahiptir ve CVE-2023-46805 8.2 yüksek önem derecesi ile puanlanmıştır.
Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), her iki güvenlik açığını da Ocak 2024'ün başlarında Bilinen İstismar Edilen Güvenlik Açıkları kataloğuna ekledi. Federal ajans ağlarının Ocak ayı sonuna kadar harekete geçmesi gerekiyor.
Ivanti'nin sıfırıncı gün güvenlik açıklarından kimler etkileniyor?
Ivanti, desteklenen tüm sürümlerin hem güvenlik danışma belgelerinde hem de destek makalelerinde etkilendiğini belirtti. Sürüm 9 ve 22'nin herhangi bir yinelemesi bu güvenlik açığını içerir. Ivanti'nin destek makalesi, sonraki sürümlerin ve Ivanti ZTA denetleyicisinin Ocak sonu ve Şubat ortasına kadar yamalar alacağını gösteriyor.
Bazı sürümler, kullanım ömrü sonu veya mühendislik sonu desteği nedeniyle kullanım dışı bırakılmıştır. Connect Secure aracını kullanımınızın güvenlik güncellemelerini alıp almayacağını belirlemek için Ivanti'nin EOL politikasını ve Connect-Secure sürüm sürümünü inceleyebilirsiniz.
Şirket, 2023'ün sonlarında Ivanti Endpoint Manager Mobile'dan yararlanmak için zincirlenmiş başka bir dizi kritik güvenlik açığıyla karşı karşıya kaldığından, bu sıfır gün ikilisi Ivanti'nin sistemindeki tek risk değil. Ivanti Connect Secure daha önce de 2019, 2020 ve 2021'deki güvenlik açıklarıyla hedef alınmıştı.
UpGuard, bilinen binlerce siber güvenlik açığını içeren bir güvenlik açığı kitaplığına sahiptir. Ivanti Connect Secure sıfır gününü UpGuard'ın güvenlik açığı kitaplığına eklediğimiz için şu anda daha fazla bilgi için durumu izliyoruz.
Siz veya bir satıcı Ivanti Connect Secure veya Policy Secure kullanıyorsanız, bundan yararlanılıp yararlanılmadığını belirlemeli ve azaltma ve olay müdahalesi ile ilgili sonraki adımlarınıza hazırlanmalısınız. UpGuard içinde, teknoloji sahibinin aracın mevcut durumunu iddia etmesini sağlayacak bir düzeltme isteği gönderebilirsiniz.
ICS ve IPS'yi güvence altına almak için harekete geçin
Bu güvenlik açıklarını gidermek için henüz tam bir güvenlik güncellemesi olmasa da Ivanti, indirme portalından ([.rt-script]mitigation.release.20240107.1.xml[.rt-script]) alınabilecek bir azaltma yaması yayınladı. Ivanti'nin önerilerine göre, azaltma yamasını uygulamadan önce en son sürüme yükselttiğinizden emin olun. Bu yama yalnızca bir geçici çözümdür ve zaten güvenliği ihlal edilmiş sistemleri onarmaz.
Sisteminizin güvenliğinin ihlal edilip edilmediğini değerlendirin:
- VPN'den beklenmeyen giden trafik için ağ trafiğini inceleyin.
- Anormal tarama veya SSH girişimleri de dahil olmak üzere beklenmeyen gelen ağ trafiğini değerlendirin.
- Kimliği doğrulanmamış istekler için VPN cihaz günlüklerinizi inceleyin. Günlükler yetkisiz olarak silinmiş veya başka bir şekilde devre dışı bırakılmışsa, bu olası güvenlik aşımını gösterir.
- Bütünlük Denetleyicisi Aracı tarafından tanımlanan dosya sistemi tutarsızlıklarını araştırın.
- Şüpheli dosyaları Volexity'nin blogunda ve Mandiant'ın tehdit istihbaratında gözlemlenen uzlaşma göstergeleriyle karşılaştırın.
Aracınızın dosya sistemi bütünlüğünü değerlendirmek ve değiştirilen dosyaları tanımlamak için Ivanti'nin Bütünlük Denetleyicisi Aracını (ICT) da çalıştırabilirsiniz. Ancak Ivanti, dahili sürüm saldırganlar tarafından manipüle edilebileceği için aracın harici sürümünün kullanılmasını önerir. Bu araç sistemi yeniden başlatacağından, bütünlük kontrolünü çalıştırmadan önce herhangi bir IOC için adli analiz yapmalısınız.