{"id":1150557,"date":"2024-02-15T16:26:28","date_gmt":"2024-02-15T18:26:28","guid":{"rendered":"https:\/\/teknomers.com\/fr\/ivanti-pulse-secure-detecte-a-laide-dune-version-linux-vieille-de-11-ans-et-de-bibliotheques-obsoletes\/"},"modified":"2024-02-15T16:26:32","modified_gmt":"2024-02-15T18:26:32","slug":"ivanti-pulse-secure-detecte-a-laide-dune-version-linux-vieille-de-11-ans-et-de-bibliotheques-obsoletes","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/ivanti-pulse-secure-detecte-a-laide-dune-version-linux-vieille-de-11-ans-et-de-bibliotheques-obsoletes\/","title":{"rendered":"Ivanti Pulse Secure d\u00e9tect\u00e9 \u00e0 l’aide d’une version Linux vieille de 11 ans et de biblioth\u00e8ques obsol\u00e8tes"},"content":{"rendered":"


\n<\/p>\n

\n
<\/a><\/div>\n

Une ing\u00e9nierie inverse du micrologiciel ex\u00e9cut\u00e9 sur les appliances Ivanti Pulse Secure a r\u00e9v\u00e9l\u00e9 de nombreuses faiblesses, soulignant une fois de plus le d\u00e9fi de s\u00e9curiser les cha\u00eenes d’approvisionnement logicielles.<\/p>\n

Eclypsiusm, qui a acquis la version 9.1.18.2-24467.1 du micrologiciel dans le cadre du processus, a d\u00e9clar\u00e9 que le syst\u00e8me d’exploitation de base utilis\u00e9 par la soci\u00e9t\u00e9 de logiciels bas\u00e9e dans l’Utah pour l’appareil est CentOS 6.4.<\/p>\n

“Pulse Secure ex\u00e9cute une version de Linux vieille de 11 ans qui n’est plus prise en charge depuis novembre 2020”, d\u00e9clare la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 du firmware. dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n

Cette \u00e9volution intervient alors que les acteurs malveillants exploitent un certain nombre de failles de s\u00e9curit\u00e9 d\u00e9couvertes dans les passerelles Ivanti Connect Secure, Policy Secure et ZTA pour diffuser une large gamme de logiciels malveillants, notamment des shells Web, des voleurs et des portes d\u00e9rob\u00e9es.<\/p>\n

Les vuln\u00e9rabilit\u00e9s qui ont \u00e9t\u00e9 activement exploit\u00e9es ces derniers mois comprennent CVE-2023-46805, CVE-2024-21887 et CVE-2024-21893. La semaine derni\u00e8re, Ivanti a \u00e9galement r\u00e9v\u00e9l\u00e9 un autre bug dans le logiciel (CVE-2024-22024) qui pourrait permettre aux acteurs malveillants d’acc\u00e9der \u00e0 des ressources autrement restreintes sans aucune authentification.<\/p>\n

\"La<\/a><\/center><\/div>\n

Dans une alerte publi\u00e9<\/a> Hier, la soci\u00e9t\u00e9 d’infrastructure Web Akamai a d\u00e9clar\u00e9 avoir observ\u00e9 une \u00ab activit\u00e9 d’analyse significative \u00bb ciblant CVE-2024-22024 \u00e0 partir du 9 f\u00e9vrier 2024, suite \u00e0 la publication d’une preuve de concept (PoC) par watchTowr.<\/p>\n

Eclypsium a d\u00e9clar\u00e9 avoir exploit\u00e9 un Exploit PoC<\/a> pour CVE-2024-21893 qui a \u00e9t\u00e9 publi\u00e9 par Rapid7 plus t\u00f4t ce mois-ci pour obtenir une coque invers\u00e9e pour l’appliance PSA3000, exportant ensuite l’image de l’appareil pour une analyse de suivi \u00e0 l’aide du EMBA<\/a> analyseur de s\u00e9curit\u00e9 du micrologiciel.<\/p>\n

Cela a non seulement r\u00e9v\u00e9l\u00e9 un certain nombre de packages obsol\u00e8tes, ce qui corrobore d\u00e9couvertes pr\u00e9c\u00e9dentes<\/a> du chercheur en s\u00e9curit\u00e9 Will Dormann \u2013 mais aussi un certain nombre de biblioth\u00e8ques vuln\u00e9rables qui sont cumulativement sensibles \u00e0 973 failles, dont 111 ont des exploits publiquement connus.<\/p>\n\n\n\n\n
\"\"<\/a><\/td>\n<\/tr>\n
Nombre de demandes d’analyse par jour ciblant CVE-2024-22024<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Perl, par exemple, n’a pas \u00e9t\u00e9 mis \u00e0 jour depuis la version 5.6.1, publi\u00e9e il y a 23 ans, le 9 avril 2001. La version du noyau Linux est la 2.6.32, qui atteint<\/a> fin de vie (EoL) \u00e0 compter de mars 2016.<\/p>\n

\u00ab Ces anciens progiciels sont des composants du produit Ivanti Connect Secure \u00bb, a d\u00e9clar\u00e9 Eclypsium. \u00ab\u00a0Il s’agit d’un exemple parfait de l’importance de la visibilit\u00e9 sur les cha\u00eenes d’approvisionnement num\u00e9riques et de la raison pour laquelle les entreprises clientes exigent de plus en plus des SBOM de la part de leurs fournisseurs.\u00a0\u00bb<\/p>\n

En outre, un examen plus approfondi du micrologiciel a r\u00e9v\u00e9l\u00e9 1\u00a0216 probl\u00e8mes dans 76 scripts shell, 5\u00a0218 vuln\u00e9rabilit\u00e9s dans 5\u00a0392 fichiers Python, en plus de 133 certificats obsol\u00e8tes.<\/p>\n

\"\"<\/a><\/div>\n

Les probl\u00e8mes ne s’arr\u00eatent pas l\u00e0, car Eclypsium a trouv\u00e9 une \u00ab faille de s\u00e9curit\u00e9 \u00bb dans la logique de l’outil de v\u00e9rification d’int\u00e9grit\u00e9 (TIC<\/a>) qu’Ivanti a recommand\u00e9<\/a> ses clients \u00e0 utiliser afin de rechercher des indicateurs de compromission (IoC).<\/p>\n

Plus pr\u00e9cis\u00e9ment, il a \u00e9t\u00e9 constat\u00e9 que le script excluait de l’analyse plus d’une douzaine de r\u00e9pertoires tels que \/data, \/etc, \/tmp et \/var, permettant ainsi hypoth\u00e9tiquement \u00e0 un attaquant de d\u00e9ployer ses implants persistants dans l’un de ces chemins tout en transmettant le v\u00e9rification de l’int\u00e9grit\u00e9. Cependant, l’outil analyse la partition \/home qui stocke tous les d\u00e9mons et fichiers de configuration sp\u00e9cifiques au produit.<\/p>\n

\"La<\/a><\/center><\/div>\n

En cons\u00e9quence, le d\u00e9ploiement du framework de post-exploitation Sliver dans le r\u00e9pertoire \/data et l’ex\u00e9cution d’ICT ne posent aucun probl\u00e8me, a d\u00e9couvert Eclypsium, sugg\u00e9rant que l’outil procure un \u00ab faux sentiment de s\u00e9curit\u00e9 \u00bb.<\/p>\n

Il convient de noter que des acteurs malveillants ont \u00e9galement \u00e9t\u00e9 observ\u00e9s en train de falsifier les TIC int\u00e9gr\u00e9es sur les appareils Ivanti Connect Secure compromis pour tenter d’\u00e9viter la d\u00e9tection.<\/p>\n

Dans une attaque th\u00e9orique d\u00e9montr\u00e9e par Eclypsium, un acteur malveillant pourrait abandonner ses outils de l’\u00e9tape suivante et stocker les informations collect\u00e9es dans la partition \/data, puis abuser d’une autre faille zero-day pour acc\u00e9der \u00e0 l’appareil et exfiltrer les donn\u00e9es pr\u00e9par\u00e9es pr\u00e9c\u00e9demment, le tout. tandis que l\u2019outil d\u2019int\u00e9grit\u00e9 ne d\u00e9tecte aucun signe d\u2019activit\u00e9 anormale.<\/p>\n

“Il doit y avoir un syst\u00e8me de freins et contrepoids qui permette aux clients et aux tiers de valider l’int\u00e9grit\u00e9 et la s\u00e9curit\u00e9 des produits”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9. “Plus ce processus est ouvert, meilleur est notre travail pour valider la cha\u00eene d’approvisionnement num\u00e9rique, \u00e0 savoir les composants mat\u00e9riels, micrologiciels et logiciels utilis\u00e9s dans leurs produits.”<\/p>\n

“Lorsque les fournisseurs ne partagent pas d’informations et\/ou n’exploitent pas un syst\u00e8me ferm\u00e9, la validation devient difficile, tout comme la visibilit\u00e9. Les attaquants vont tr\u00e8s certainement, comme cela a \u00e9t\u00e9 d\u00e9montr\u00e9 r\u00e9cemment, profiter de cette situation et exploiter le manque de contr\u00f4les et de visibilit\u00e9 sur le syst\u00e8me.”<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n