Une falsification de requ\u00eate c\u00f4t\u00e9 serveur r\u00e9cemment r\u00e9v\u00e9l\u00e9e (SSRF<\/a>) la vuln\u00e9rabilit\u00e9 affectant les produits Ivanti Connect Secure et Policy Secure a \u00e9t\u00e9 exploit\u00e9e \u00e0 grande \u00e9chelle.<\/p>\n La Fondation Shadowserver dit<\/a> elle a observ\u00e9 des tentatives d’exploitation provenant de plus de 170 adresses IP uniques visant, entre autres, \u00e0 \u00e9tablir un reverse shell.<\/p>\n Les attaques exploitent CVE-2024-21893 (score CVSS : 8,2), une faille SSRF dans le composant SAML d’Ivanti Connect Secure, Policy Secure et Neurons pour ZTA qui permet \u00e0 un attaquant d’acc\u00e9der \u00e0 des ressources autrement restreintes sans authentification.<\/p>\n Ivanti avait pr\u00e9c\u00e9demment r\u00e9v\u00e9l\u00e9 que la vuln\u00e9rabilit\u00e9 avait \u00e9t\u00e9 exploit\u00e9e dans des attaques cibl\u00e9es visant un \u00ab nombre limit\u00e9 de clients \u00bb, mais a averti que le statu quo pourrait changer apr\u00e8s la divulgation publique.<\/p>\n C’est exactement ce qui semble s’\u00eatre produit, surtout apr\u00e8s la lib\u00e9rer<\/a> d’un exploit de preuve de concept (PoC) par la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 Rapid7 la semaine derni\u00e8re.<\/p>\n Le PoC implique la cr\u00e9ation d’une cha\u00eene d’exploitation combinant CVE-2024-21893 avec CVE-2024-21887, une faille d’injection de commandes pr\u00e9c\u00e9demment corrig\u00e9e, pour permettre l’ex\u00e9cution de code \u00e0 distance non authentifi\u00e9.<\/p>\n Il convient de noter ici que CVE-2024-21893 est un alias pour CVE-2023-36661<\/a> (score CVSS : 7,5), une vuln\u00e9rabilit\u00e9 SSRF pr\u00e9sente dans la biblioth\u00e8que open source Shibboleth XMLTooling. Ce probl\u00e8me a \u00e9t\u00e9 corrig\u00e9 par les responsables en juin 2023 avec la sortie de version 3.2.4<\/a>. <\/p>\n Will Dormann, chercheur en s\u00e9curit\u00e9 plus loin<\/a> a soulign\u00e9 d’autres composants open source obsol\u00e8tes utilis\u00e9s par les appliances Ivanti VPN, tels que curl 7.19.7, openssl 1.0.2n-fips, perl 5.6.1, psql 9.6.14, cabextract 0.5, ssh 5.3p1 et d\u00e9compressez 6.00, ouvrant ainsi la porte \u00e0 davantage d’attaques.<\/p>\n Cette \u00e9volution intervient alors que les acteurs malveillants ont trouv\u00e9 un moyen de contourner l’att\u00e9nuation initiale d’Ivanti, ce qui a incit\u00e9 la soci\u00e9t\u00e9 bas\u00e9e dans l’Utah \u00e0 publier un deuxi\u00e8me fichier d’att\u00e9nuation. Depuis le 1er f\u00e9vrier 2024, la soci\u00e9t\u00e9 a commenc\u00e9 \u00e0 publier des correctifs officiels pour corriger toutes les vuln\u00e9rabilit\u00e9s.<\/p>\n La semaine derni\u00e8re, Mandiant, propri\u00e9t\u00e9 de Google, a r\u00e9v\u00e9l\u00e9 que plusieurs acteurs malveillants exploitaient CVE-2023-46805 et CVE-2024-21887 pour d\u00e9ployer une gamme de shells Web personnalis\u00e9s suivis comme BUSHWALK, CHAINLINE, FRAMESTING et LIGHTWIRE.<\/p>\n Unit\u00e9 42 de r\u00e9seaux de Palo Alto dit<\/a> il a observ\u00e9 28\u00a0474 instances expos\u00e9es d’Ivanti Connect Secure et Policy Secure dans 145 pays entre le 26 et le 30 janvier 2024, avec 610 instances compromises d\u00e9tect\u00e9es dans 44 pays au 23 janvier 2024.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Une-recente-faille-SSRF-dans-les-produits-Ivanti-VPN-est.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n