Lanțul de vulnerabilități zero-day al Ivanti le-a oferit atacatorilor acces root la o rețea VPN

Ivanti a avertizat utilizatorii că o vulnerabilitate de tip zero-day din dispozitivele sale VPN Connect Secure (ICS) a fost exploatată în mod active.

Identificată ca CVE-2026-104935 și clasificată ca având un grad de severitate high, vulnerabilitatea constă într-o ocolire a procesului de autentificare care permite unui atacator la distanță, neautentificat, să execute comenzi arbitrare. Ivanti afirmă că are cunoștință de exploatări care afectează un număr limitat de utilizatori.

Conform unui specialist, care a descoperit exploatarea în mod activ, un atacator pe care-l urmărește sub numele de UTA0576, a combinat trei vulnerabilități de tip zero-day pentru a obține executarea de cod la nivel de root, fără autentificare, pe un dispozitiv ICS complet actualizat.

Potrivit acestuia, CVE-2026-104935 acoperă două dintre vulnerabilități: o ocolire a autentificării și o vulnerabilitate de executare a codului de la distanță.

Ivanti a remediat aceste vulnerabilități odată cu lansarea versiunilor ICS 22.8R2.5, 25.1.1.2, 25.1.3.0 și 25.1.3.1.

A treia vulnerabilitate, o eroare legată de escaladarea privilegiilor, rămâne încă neremediată, iar furnizorul intenționează să o remedieze în următoarele săptămâni.

Conform specialistului, atacatorul UTA0576 s-a concentrat în principal pe sustragerea datelor de autentificare, exfiltrarea datelor, recunoașterea rețelei și modificarea jurnalelor de evenimente.

Atacatorii au sustras datele de autentificare pentru domeniu stocate pe dispozitiv și au sustras metadate limitate din Active Directory. Folosind un instrument personalizat, au căutat în Active Directory parole LAPS și chei de recuperare BitLocker.

De asemenea, au lansat atacuri de tip password-spraying, au testat datele de autentificare cu un instrument Kerberos personalizat și au încercat să extragă datele de autentificare din traficul de rețea capturat. În plus, au scanat rețeaua, au colectat datele de configurare ale dispozitivului și au analizat jurnalele de autentificare pentru a identifica nume de utilizator valide.

Sursă: https://www.securityweek.com/ivanti-zero-day-chain-gave-attackers-root-access-to-fully-patched-vpn/