Ivanti confirme l'exploitation de deux vulnérabilités inédites

Questions relatives à l'accès sans confiance

L'avis de sécurité d'Ivanti prévient également que si les vulnérabilités sont enchaînées, des attaquants non autorisés peuvent exécuter des commandes arbitraires sur le système. En outre, il aborde la manière dont les failles pourraient affecter les passerelles utilisées pour le contrôle dans son offre d'accès sans confiance, ou zero-trust, Ivanti Neurons for ZTA. La bonne nouvelle est que l'avis souligne que les passerelles ZTA ne peuvent pas être exploitées lorsqu'elles sont en production, mais des risques subsistent.

« Si une passerelle pour cette solution est générée et laissée sans connexion à un contrôleur ZTA, il y a un risque d'exploitation sur la passerelle générée. Ivanti Neurons for Secure Access n'est pas vulnérable à ces CVE ; cependant, les passerelles gérées sont indépendamment vulnérables à ces CVE », a écrit Ivanti dans l'avis de sécurité.

Outre la mention de Volexity dans son avis de sécurité, Ivanti a également félicité Mandiant pour « son partenariat continu ». Des mesures d'atténuation sont actuellement disponibles, mais la première série de correctifs ne sera pas disponible avant la semaine du 22 janvier. Une version finale sera publiée à partir du 19 février.

« Il est essentiel que vous preniez immédiatement des mesures pour vous assurer que vous êtes entièrement protégé », indique l'avis de sécurité, qui contient également un lien vers un article de la base de connaissances proposant des mesures d'atténuation.

Dans un billet de blog mis à jour jeudi dernier au soir, Mandiant indique que l'acteur malveillant a utilisé des shells web, baptisés Lightwire et Wirefire, pour créer des portes dérobées et maintenir un accès persistant aux dispositifs ICS. Sur la base de l'activité post-exploitation, Mandiant a averti que cet acteur, qu'il suit sous le nom d'UNC5221, a anticipé la publication de correctifs : il a déployé Lightwire et Wirefire pour maintenir l'accès, mais les webshells n'étaient que deux des cinq familles de logiciels malveillants utilisées dans les attaques, dont certaines permettent de contourner l'authentification.

« Cela indique qu'il ne s'agit pas d'attaques opportunistes et que UNC5221 avait l'intention de maintenir sa présence sur un sous-ensemble de cibles hautement prioritaires qu'il a compromises, après la publication inévitable d'un correctif », a écrit Mandiant dans son billet de blog.

Satnam Narang, ingénieur de recherche senior chez Tenable, a déclaré qu'il était surtout préoccupé par l'absence de correctifs et par le temps d'attente prévu de plusieurs semaines. Il a également évoqué le récent ciblage d'autres produits Ivanti. Au cours de l'été, Ivanti a corrigé trois vulnérabilités critiques inédites qui étaient activement exploitées à un mois d'intervalle, ce qui indique que les attaquants vont probablement en tenir compte.

« Dès qu'un démonstrateur est disponible pour cette chaîne d'exploitation, nous nous attendons à ce que l'activité malveillante augmente, surtout si l'on se base sur l'activité historique ciblant ces produits », a déclaré Satnam Narang dans un courriel adressé à la rédaction de TechTarget.