Un atacante encadena tres vulnerabilidades «zero-day» de Ivanti Connect Secure para obtener acceso de root; hasta ahora solo se han corregido dos
Una firma de seguridad informó sobre el uso encadenado de tres vulnerabilidades de día cero en un dispositivo VPN de Ivanti, permitiendo a un atacante ejecutar comandos con privilegios de root sin necesidad de autenticarse. Hasta el momento, el fabricante ha lanzado parches para dos de estas fallas y ha instado a los usuarios a actuar de inmediato, mientras que la solución para el tercer fallo todavía está pendiente de publicación.
El incidente fue descubierto en el equipo de un cliente que ya contaba con las actualizaciones aplicadas y operaba una versión específica del sistema. El actor malicioso, identificado por la firma de seguridad bajo un nombre en código, inició sus actividades a principios de octubre y los responsables confirmaron la existencia de explotación limitada en escenarios reales. Las dos primeras vulnerabilidades combinadas permiten la ejecución remota de código y la evasión de autenticación, mientras que la tercera funciona como una escalada de privilegios para alcanzar el nivel máximo de acceso.
Para detectar este tipo de intrusiones, los análisis forenses de red y memoria son necesarios, ya que la herramienta habitual de verificación de integridad proporcionada por el fabricante no logra identificar la cadena de ataques debido a que las modificaciones se realizan únicamente en la memoria y se restablecen los datos de configuración alterados. Durante el ataque investigado, el agresor sustrajo credenciales almacenadas y llevó a cabo ataques de fuerza y búsqueda de contraseñas, sin dejar puertas trasera o web shells persistentes.
El artículo original no aporta más detalle sobre otros aspectos de la investigación o el impacto en una mayor cantidad de usuarios.