{"id":1186864,"date":"2024-02-15T20:09:49","date_gmt":"2024-02-15T20:09:49","guid":{"rendered":"https:\/\/teknomers.com\/es\/ivanti-pulse-secure-encontrado-usando-una-version-de-linux-de-hace-11-anos-y-bibliotecas-obsoletas\/"},"modified":"2024-02-15T20:09:54","modified_gmt":"2024-02-15T20:09:54","slug":"ivanti-pulse-secure-encontrado-usando-una-version-de-linux-de-hace-11-anos-y-bibliotecas-obsoletas","status":"publish","type":"post","link":"https:\/\/teknomers.com\/es\/ivanti-pulse-secure-encontrado-usando-una-version-de-linux-de-hace-11-anos-y-bibliotecas-obsoletas\/","title":{"rendered":"Ivanti Pulse Secure encontrado usando una versi\u00f3n de Linux de hace 11 a\u00f1os y bibliotecas obsoletas"},"content":{"rendered":"


\n<\/p>\n

\n
<\/a><\/div>\n

Una ingenier\u00eda inversa del firmware que se ejecuta en los dispositivos Ivanti Pulse Secure ha revelado numerosas debilidades, lo que subraya una vez m\u00e1s el desaf\u00edo de proteger las cadenas de suministro de software.<\/p>\n

Eclypsiusm, que adquiri\u00f3 la versi\u00f3n de firmware 9.1.18.2-24467.1 como parte del proceso, dijo que el sistema operativo base utilizado por la compa\u00f1\u00eda de software con sede en Utah para el dispositivo es CentOS 6.4.<\/p>\n

“Pulse Secure ejecuta una versi\u00f3n de Linux de hace 11 a\u00f1os que no recibe soporte desde noviembre de 2020”, la empresa de seguridad de firmware dicho<\/a> en un informe compartido con The Hacker News.<\/p>\n

El desarrollo se produce cuando los actores de amenazas est\u00e1n aprovechando una serie de fallas de seguridad descubiertas en las puertas de enlace Ivanti Connect Secure, Policy Secure y ZTA para entregar una amplia gama de malware, incluidos web shells, ladrones y puertas traseras.<\/p>\n

Las vulnerabilidades que han sido objeto de explotaci\u00f3n activa en los \u00faltimos meses incluyen CVE-2023-46805, CVE-2024-21887 y CVE-2024-21893. La semana pasada, Ivanti tambi\u00e9n revel\u00f3 otro error en el software (CVE-2024-22024) que podr\u00eda permitir a los actores de amenazas acceder a recursos que de otro modo estar\u00edan restringidos sin ninguna autenticaci\u00f3n.<\/p>\n

\"La<\/a><\/center><\/div>\n

en una alerta publicado<\/a> Ayer, la empresa de infraestructura web Akamai dijo que hab\u00eda observado “una actividad de escaneo significativa” dirigida a CVE-2024-22024 a partir del 9 de febrero de 2024, luego de la publicaci\u00f3n de una prueba de concepto (PoC) por parte de watchTowr.<\/p>\n

Eclypsium dijo que aprovech\u00f3 un Explotaci\u00f3n PoC<\/a> para CVE-2024-21893 que fue lanzado por Rapid7 a principios de este mes para obtener un shell inverso para el dispositivo PSA3000, exportando posteriormente la imagen del dispositivo para el an\u00e1lisis de seguimiento utilizando el EMBA<\/a> analizador de seguridad del firmware.<\/p>\n

Esto no s\u00f3lo descubri\u00f3 una serie de paquetes obsoletos, lo que corrobora hallazgos previos<\/a> del investigador de seguridad Will Dormann, pero tambi\u00e9n una serie de bibliotecas vulnerables que son acumulativamente susceptibles a 973 fallas, de las cuales 111 tienen vulnerabilidades conocidas p\u00fablicamente.<\/p>\n\n\n\n\n
\"\"<\/a><\/td>\n<\/tr>\n
N\u00famero de solicitudes de escaneo por d\u00eda dirigidas a CVE-2024-22024<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Perl, por ejemplo, no se ha actualizado desde la versi\u00f3n 5.6.1, que se lanz\u00f3 hace 23 a\u00f1os, el 9 de abril de 2001. La versi\u00f3n del kernel de Linux es 2.6.32, que alcanz\u00f3<\/a> fin de vida \u00fatil (EoL) a partir de marzo de 2016.<\/p>\n

“Estos viejos paquetes de software son componentes del producto Ivanti Connect Secure”, dijo Eclypsium. “Este es un ejemplo perfecto de por qu\u00e9 la visibilidad de las cadenas de suministro digitales es importante y por qu\u00e9 los clientes empresariales exigen cada vez m\u00e1s SBOM a sus proveedores”.<\/p>\n

Adem\u00e1s, un examen m\u00e1s profundo del firmware descubri\u00f3 1216 problemas en 76 scripts de shell, 5218 vulnerabilidades en 5392 archivos Python, adem\u00e1s de 133 certificados obsoletos.<\/p>\n

\"\"<\/a><\/div>\n

Los problemas no terminan ah\u00ed, ya que Eclypsium encontr\u00f3 un “agujero de seguridad” en la l\u00f3gica de la herramienta Integrity Checker (TIC<\/a>) que Ivanti tiene recomendado<\/a> que sus clientes utilicen para buscar indicadores de compromiso (IoC).<\/p>\n

Espec\u00edficamente, se ha descubierto que el script excluye del an\u00e1lisis m\u00e1s de una docena de directorios como \/data, \/etc, \/tmp y \/var, lo que hipot\u00e9ticamente permite a un atacante implementar sus implantes persistentes en una de estas rutas y aun as\u00ed pasar el verificaci\u00f3n de integridad. Sin embargo, la herramienta escanea la partici\u00f3n \/home que almacena todos los demonios y archivos de configuraci\u00f3n espec\u00edficos del producto.<\/p>\n

\"La<\/a><\/center><\/div>\n

Como resultado, Eclypsium descubri\u00f3 que la implementaci\u00f3n del marco de post-explotaci\u00f3n Sliver en el directorio \/data y la ejecuci\u00f3n de ICT no reportan problemas, lo que sugiere que la herramienta proporciona una “falsa sensaci\u00f3n de seguridad”.<\/p>\n

Vale la pena se\u00f1alar que tambi\u00e9n se ha observado que los actores de amenazas manipulan las TIC integradas en los dispositivos Ivanti Connect Secure comprometidos en un intento de eludir la detecci\u00f3n.<\/p>\n

En un ataque te\u00f3rico demostrado por Eclypsium, un actor de amenazas podr\u00eda abandonar sus herramientas de la siguiente etapa y almacenar la informaci\u00f3n recopilada en la partici\u00f3n \/data y luego abusar de otra falla de d\u00eda cero para obtener acceso al dispositivo y exfiltrar los datos almacenados previamente, todo mientras que la herramienta de integridad no detecta signos de actividad an\u00f3mala.<\/p>\n

“Debe haber un sistema de controles y contrapesos que permita a los clientes y terceros validar la integridad y seguridad del producto”, dijo la compa\u00f1\u00eda. “Cuanto m\u00e1s abierto sea este proceso, mejor trabajo podremos hacer para validar la cadena de suministro digital, es decir, los componentes de hardware, firmware y software utilizados en sus productos”.<\/p>\n

“Cuando los proveedores no comparten informaci\u00f3n y\/o operan un sistema cerrado, la validaci\u00f3n se vuelve dif\u00edcil, al igual que la visibilidad. Los atacantes seguramente, como se demostr\u00f3 recientemente, aprovechar\u00e1n esta situaci\u00f3n y explotar\u00e1n la falta de controles y visibilidad del sistema”.<\/p>\n

<\/p>\n

\u00bfEncontr\u00f3 interesante este art\u00edculo? Siga con nosotros Gorjeo \uf099<\/i><\/a> y LinkedIn<\/a> para leer m\u00e1s contenido exclusivo que publicamos.<\/div>\n<\/div>\n