Ivanti Patches Two More Zero-Days Exploited in Connect Secure Attack Chain

La com­pa­ñía Ivan­ti ha lan­za­do ac­tua­li­za­cio­nes para so­lu­cio­nar un par de vul­ne­ra­bi­li­da­des de tipo día cero adi­cio­na­les que los ata­can­tes com­bi­na­ron con otro fallo pre­via­men­te re­ve­la­do el mes pa­sa­do en su pro­duc­to Con­nect Se­cu­re. Estas de­bi­li­da­des re­cien­te­men­te co­rre­gi­das se su­ma­ron al aviso de se­gu­ri­dad pu­bli­ca­do an­te­rior­men­te sobre una falla de omi­sión de au­ten­ti­ca­ción en la misma he­rra­mien­ta de red pri­va­da vir­tual.

La pri­me­ra de estas vul­ne­ra­bi­li­da­des iden­ti­fi­ca­das per­mi­te que un usua­rio con ac­ce­so local y au­ten­ti­ca­do au­men­te sus pri­vi­le­gios de­bi­do a la au­sen­cia de au­ten­ti­ca­ción en una fun­ción im­por­tan­te. La se­gun­da de­bi­li­dad, por su parte, per­mi­te que un ata­can­te au­ten­ti­ca­do de forma re­mo­ta car­gue ar­chi­vos per­so­na­li­za­dos en un di­rec­to­rio pre­de­ter­mi­na­do uti­li­zan­do iden­ti­fi­ca­do­res pre­vi­si­bles. Ambas fa­llas afec­tan a va­rias ver­sio­nes an­te­rio­res del soft­wa­re, por lo que las or­ga­ni­za­cio­nes que apli­ca­ron los par­ches pre­vios de­be­rán ac­tua­li­zar sus sis­te­mas nue­va­men­te.

El uso com­bi­na­do de estos tres fa­llos per­mi­tió a los ata­can­tes al­can­zar la eje­cu­ción de có­di­go con pri­vi­le­gios de root sin ne­ce­si­dad de au­ten­ti­ca­ción, en­fo­cán­do­se prin­ci­pal­men­te en robar cre­den­cia­les, ex­traer in­for­ma­ción, rea­li­zar ex­plo­ra­cio­nes en la red y mo­di­fi­car re­gis­tros. La em­pre­sa de se­gu­ri­dad Vo­le­xity des­cu­brió estos ata­ques en curso y atri­bu­yó las ac­cio­nes a un grupo de ame­na­zas al que de­no­mi­nó UTA0576. Por su parte, la agen­cia CISA in­cor­po­ró estas vul­ne­ra­bi­li­da­des re­cién di­vul­ga­das a su ca­tá­lo­go de fa­llas ex­plo­ta­das co­no­ci­das, es­ta­ble­cien­do pla­zos es­pe­cí­fi­cos para que las agen­cias fe­de­ra­les so­lu­cio­nen los pro­ble­mas.