Los ataques de día cero contra Ivanti ICS ponen de manifiesto las dificultades de los proveedores a la hora de aplicar parches

Los ata­can­tes apro­ve­cha­ron vul­ne­ra­bi­li­da­des de día cero en pro­duc­tos de Ivan­ti Con­nect Se­cu­re, per­mi­tien­do sal­tar­se la au­ten­ti­ca­ción y lo­grar la eje­cu­ción re­mo­ta de có­di­go sin au­ten­ti­ca­ción. Ivan­ti re­ve­ló estos fa­llos bajo una misma iden­ti­fi­ca­ción, se­ña­lan­do que ya exis­tía ex­plo­ta­ción ac­ti­va en en­tor­nos reales al mo­men­to de hacer el aviso pú­bli­co.

La si­tua­ción se com­pli­có de­bi­do a que Ivan­ti había des­cu­bier­to una parte de este pro­ble­ma meses atrás y la so­lu­cio­nó en una ver­sión es­pe­cí­fi­ca, pero aún se en­con­tra­ba tra­ba­jan­do en tras­la­dar dicho par­che a las demás ver­sio­nes com­pa­ti­bles cuan­do ocu­rrie­ron los ata­ques. In­ves­ti­ga­do­res de se­gu­ri­dad de­tec­ta­ron que un grupo de ata­can­tes uti­li­zó una ca­de­na de ex­plo­ta­ción que afec­tó in­clu­so a dis­po­si­ti­vos que ya con­ta­ban con la ac­tua­li­za­ción dis­po­ni­ble en ese mo­men­to, com­bi­nan­do elu­dir la au­ten­ti­ca­ción, eje­cu­ción de có­di­go y un pro­ble­ma adi­cio­nal de es­ca­la­da de pri­vi­le­gios que to­da­vía no cuen­ta con un par­che de­fi­ni­ti­vo.

Tras com­pro­me­ter los apa­ra­tos, los ata­can­tes ex­tra­je­ron cre­den­cia­les, in­gre­sa­ron al Ac­ti­ve Di­rec­tory y bo­rra­ron ras­tros en los re­gis­tros de de­pu­ra­ción, aun­que el in­ci­den­te fue in­te­rrum­pi­do antes de de­ter­mi­nar su ob­je­ti­vo final. Es­pe­cia­lis­tas se­ña­lan que el pe­rio­do que trans­cu­rre entre la crea­ción de una so­lu­ción y su apli­ca­ción ge­ne­ra­li­za­da en todos los equi­pos ex­pues­tos re­pre­sen­ta un reto com­ple­jo para los fa­bri­can­tes, ya que los ata­can­tes pue­den ana­li­zar los cam­bios en las ver­sio­nes par­chea­das para ubi­car bre­chas en aque­llas que aún no los re­ci­ben.