Vulnerabilitate 0-day din Ivanti Connect Secure exploatată în mod activ

Persoanele rău intenționate exploatează în lanț vulnerabilități de tip zero-day din dispozitivele Ivanti Connect Secure VPN pentru a obține acces root fără autentificare, expunând datele de autentificare stocate și informațiile sensibile din Active Directory.

Ivanti a confirmat atacuri împotriva unui număr limitat de utilizatori și a lansat remedieri suplimentare pe 29 octombrie 2026, în urma patch-urilor inițiale din octombrie.

Conform analizei tehnice realizate de specialiști, atacul a început cu o ocolire a procesului de autentificare în fișierul welcome.cgi, scriptul public de autentificare. O incompatibilitate între adresa URL solicitată și antetul X-DSCGI-PATH i-a permis atacatorului să acceseze un handler de upload protejat fără a se autentifica.

Handlerul de upload, wu.cgi, scria conținutul primit într-o locație temporară previzibilă înainte de a verifica dacă era vorba de un fișier ZIP valid. Atacatorul a încărcat un script Perl și a trimis cereri paralele pentru a-l executa înainte ca dispozitivul să-l șteargă. Această vulnerabilitate de sincronizare a permis executarea codului sub identitatea utilizatorului cgi-server al dispozitivului.

Atacatorul a exploatat apoi serviciul dsinvoked cu drepturi privilegiate. Prin modificarea codului bibliotecii din memorie și a unei sarcini de întreținere din magazinul de configurare DSCache, atacatorul  a determinat serviciul să execute cod controlat de acesta cu drepturi de root. Apoi, payload-ul a restabilit setările și starea memoriei modificate pentru a-și ascunde activitatea.

Ivanti monitorizează, de asemenea, CVE-2026-104935 (CvSS 8.6/10) pentru ocolirea autentificării și executarea de cod, CVE-2026-111357 (CvSS 8.8/10) pentru escaladarea privilegiilor și CVE-2026-118527 (CvSS 4.3/10) pentru o vulnerabilitate legată de numele de fișiere previzibile.

Atacatorii nu au instalat un backdoor sau un web shell. În schimb, a repetat lanțul de exploatare pentru fiecare comandă și a primit rezultatele prin răspunsuri HTTPS. Acest lucru a redus necesitatea de a lăsa instrumente de acces persistente pe disc.

După ce a preluat controlul, atacatorul a extras datele de autentificare stocate pentru domeniu și a utilizat contul de serviciu Active Directory al dispozitivului VPN pentru a interoga sistemele interne. Printre ținte s-au numărat parolele de administrator Windows LAPS, cheile de recuperare BitLocker și atributele care conțineau parole.

Operațiunea a implicat, de asemenea, tehnica password spraying, colectarea numelor de utilizator și analiza pachetelor de date pentru a recupera datele de autentificare din traficul de rețea.

Actualizarea din 29 octombrie furnizată pentru acest raport identifică versiunile 25.1.1.3 și 22.8R2.6 ca fiind cele care remediază toate vulnerabilitățile dezvăluite în cadrul acestor ramuri. Administratorii ar trebui să urmeze recomandările Ivanti și să selecteze actualizarea corespunzătoare pentru platforma dispozitivului lor.

Specialiștii în securitate ar trebui să examineze traficul neobișnuit către welcome.cgi, căile de solicitare și anteturile care nu corespund, fișierele suspecte din directorul /tmp/ și conexiunile din rețeaua VPN către sistemele interne.

În cazul unor compromiteri, este necesară analiza memoriei, a discului și a rețelei, deoarece atacatorul a șters și anumite intrări din jurnalele de depanare și de audit. O simplă verificare de integritate nu poate exclude această compromitere.

Sursă: https://cybersecuritynews.com/ivanti-connect-secure-zero-days-exploited/