Exploitations de vulnérabilités dans Ivanti Cloud Services Appliance (CSA)

Ivanti a publié plusieurs avis de sécurité sur des vulnérabilités affectant CSA qui sont activement exploitées :

• le 10 septembre 2024, Ivanti a publié un avis de sécurité concernant la vulnérabilité CVE-2024-8190 qui permet à un attaquant, authentifié en tant qu’administrateur, d’exécuter du code arbitraire à distance sur un équipement CSA ;


• le 13 septembre 2024, l’éditeur a ajouté que cette vulnérabilité était activement exploitée dans le cadre d’attaques ciblées ;


• le 16 septembre 2024, le CERT-FR a eu connaissance de codes d’exploitation publics pour la vulnérabilité CVE-2024-8190 ;


• le 19 septembre 2024, Ivanti a publié un nouvel avis de sécurité affectant CSA. La vulnérabilité CVE-2024-8963 permet à un attaquant non authentifié de contourner l’authentification et d’obtenir les droits administrateur ;


• le 8 octobre 2024, Ivanti a publié un nouvel avis de sécurité affectant les CSA versions 5.0.1 et antérieures. Les vulnérabilités CVE-2024-9379 et CVE-2024-9380, combinées à la vulnérabilité CVE-2024-8963 présente sur les CSA versions 4.6 antérieures au correctif 519, permettent d’exécuter du code arbitraire à distance ;


• le 11 octobre 2024 l’éditeur Fortinet a publié un billet de blogue [1] détaillant les exploitations constatées lors d’une opération de réponse à incidents.

L’éditeur a précisé que les vulnérabilités CVE-2024-8190 et CVE-2024-8963 étaient activement exploitées et a connaissance d’un nombre limité d’exploitations des vulnérabilités CVE-2024-9379 et CVE-2024-9380, combinées à la vulnérabilité CVE-2024-8963 sur les CSA en versions antérieures à 5.0 uniquement.

RISQUES

• Contournement de la politique de sécurité


• Exécution de code arbitraire à distance

SYSTÈMES AFFECTÉS

• Ivanti Cloud Services Appliance (CSA) versions antérieures à 5.0.2

Une chaine d’exploitation complète est connue pour les produits Ivanti Cloud Services Appliance de versions antérieures à 5.0, notamment les versions 4.6 n’ayant pas appliqué le correctif 519. Les vulnérabilités CVE-2024-8190, CVE-2024-8963 et CVE-2024-9380 ont été exploitées avant la publication de ce correctif. Le CERT-FR n’a pas connaissance d’une chaine d’exploitation impactant les versions 5.0.x.

SOLUTION

L’éditeur recommande :

• d’isoler les équipements compromis du réseau et réaliser un gel de données (instantané pour les machines virtuelles, isolement de l’équipement s’il s’agit d’un équipement physique) à des fins d’investigations approfondies 


• de signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier 


• de reconstruire la solution CSA en version 5.0.2 et son système d’exploitation sur lequel il repose à partir de source éditeur. L’attaquant peut déposer un implant qui ne sera pas supprimé avec la simple réinstallation de l’application 


• réinitialiser les secrets associés à ces comptes afin d’éviter que l’attaquant ne puisse réutiliser ailleurs les identifiants éventuellement obtenus sur l’équipement.

Source : CERT.FR