Threat Actors koppelen kwetsbaarheden aan Ivanti Cloud Service-applicaties

De Cybersecurity and Infrastructure Security Agency (CISA) en de Federal Bureau of Investigation (FBI) publiceren dit gezamenlijke Cybersecurity Advisory als reactie op het misbruik in september 2024 van kwetsbaarheden in Ivanti Cloud Service Appliances (CSA): CVE-2024-8963 , een kwetsbaarheid voor administratieve bypass; CVE-2024-9379 , een kwetsbaarheid voor SQL-injectie; en CVE-2024-8190 en CVE-2024-9380 , kwetsbaarheden voor uitvoering van externe code.

Volgens CISA en vertrouwde incidentresponsgegevens van derden, hebben dreigingsactoren de vermelde kwetsbaarheden aan elkaar gekoppeld om initiële toegang te krijgen, remote code execution (RCE) uit te voeren, inloggegevens te verkrijgen en webshells te implanteren op slachtoffernetwerken. De primaire exploitpaden van de actoren waren twee kwetsbaarheidsketens. Eén exploitketen maakte gebruik van CVE-2024-8963 in combinatie met CVE-2024-8190 en CVE-2024-9380 en de andere exploiteerde CVE-2024-8963 en CVE-2024-9379. Bij één bevestigde inbreuk verplaatsten de actoren zich lateraal naar twee servers.

Upgraden

Alle vier de kwetsbaarheden hebben betrekking op Ivanti CSA versie 4.6x versies vóór 519, en twee van de kwetsbaarheden (CVE-2024-9379 en CVE-2024-9380) hebben betrekking op CSA versies 5.0.1 en lager; volgens Ivanti zijn deze CVE's niet uitgebuit in versie 5.0.[ 1 ]

Ivanti CSA 4.6 is End-of-Life (EOL) en ontvangt geen patches of bibliotheken van derden meer. CISA en FBI moedigen netwerkbeheerders ten zeerste aan om te upgraden naar de nieuwste ondersteunde versie van Ivanti CSA. Netwerkverdedigers worden aangemoedigd om te jagen op kwaadaardige activiteiten op hun netwerken met behulp van de detectiemethoden en indicatoren van compromis (IOC's) in dit advies. Inloggegevens en gevoelige gegevens die zijn opgeslagen in de getroffen Ivanti-apparaten, moeten als gecompromitteerd worden beschouwd. Organisaties moeten logs en artefacten verzamelen en analyseren op kwaadaardige activiteiten en de aanbevelingen voor incidentrespons in dit advies toepassen.

Lees meer hier.