Ερευνητές της Fortinet FortiGuard Labs παρατήρησαν ότι hackers χρησιμοποιούν τρεις ευπάθειες στο Ivanti Cloud Service Appliance (CSA), για κακόβουλες δραστηριότητες.
Σύμφωνα με τους ειδικούς, οι ευπάθειες έχουν χρησιμοποιηθεί για την απόκτηση μη εξουσιοδοτημένης πρόσβασης στο CSA, για User enumeration και για προσπάθεια κλοπής των credentials αυτών των χρηστών.
“Όπως παρατηρήθηκε, οι επιτιθέμενοι εκμεταλλεύονται και συνδυάζουν τις ευπάθειες zero-day για να αποκτήσουν πρόσβαση στο δίκτυο του θύματος“, δήλωσαν οι ερευνητές ασφαλείας Faisal Abdul Malik Qureshi, John Simmons, Jared Betts, Luca Pugliese, Trent Healy, Ken Evans και Robert Reyes.
Δείτε επίσης: Ivanti: Προειδοποιεί για τρεις νέες ευπάθειες CSA
Οι τρεις ευπάθειες Ivanti CSA, που χρησιμοποιούνται σε επιθέσεις, είναι:
CVE-2024-8190 (βαθμολογία CVSS: 7.2/10) – Μια ευπάθεια command injection στον πόρο /gsb/DateTimeTab.php
CVE-2024-8963 (βαθμολογία CVSS: 9,4/10) – Μια ευπάθεια path traversal στον πόρο /client/index.php
CVE-2024-9380 (βαθμολογία CVSS: 7.2/10) – Μια ευπάθεια authenticated command injection που επηρεάζει το resource reports.php.
Στο επόμενο στάδιο, τα κλεμμένα credentials που σχετίζονται με gsbadmin και admin χρησιμοποιήθηκαν για την εκμετάλλευση της ευπάθειας command injection που επηρεάζει τον πόρο /gsb/reports.php (για την εγκατάσταση ενός web shell).
Δείτε επίσης: CISA: Προσθέτει στον Κατάλογο KEV νέα ευπάθεια του Ivanti EPM
“Στις 10 Σεπτεμβρίου 2024, όταν δημοσιεύτηκε το advisory για το CVE-2024-8190 από την Ivanti, ο παράγοντας απειλών, ο οποίος εξακολουθεί να είναι ενεργός στο δίκτυο του πελάτη, “επιδιόρθωσε” τις ευπάθειες command injection στους πόρους /gsb/DateTimeTab.php και /gsb/reports.php“.
“Στο παρελθόν, οι φορείς απειλών έχουν επιδιορθώσει τρωτά σημεία, αφού τα εκμεταλλευτούν και αποκτήσουν πρόσβαση στο δίκτυο του θύματος, για να εμποδίσουν οποιονδήποτε άλλο εισβολέα να αποκτήσει πρόσβαση στο ευάλωτο στοιχείο και να παρέμβει στις επιθέσεις τους“.
Οι άγνωστοι εισβολείς έχουν, επίσης, κάνει κατάχρηση του CVE-2024-29824, μιας ευπάθειας στο Ivanti Endpoint Manager (EPM). Ο Οργανισμός Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ (CISA) πρόσθεσε την ευπάθεια στον κατάλογο Γνωστών Εκμεταλλευόμενων Ευπαθειών (KEV) την πρώτη εβδομάδα του Οκτωβρίου 2024.
Οι επιπτώσεις αυτών των ευπαθειών είναι σημαντικές, δεδομένου ότι παρέχουν στους εισβολείς τη δυνατότητα να υπονομεύσουν πλήρως τα επηρεαζόμενα συστήματα. Πέρα από την εφαρμογή ενημερώσεων, συνιστάται η παρακολούθηση του network traffic για οποιαδήποτε ασυνήθιστη δραστηριότητα που μπορεί να υποδεικνύει απόπειρες εκμετάλλευσης. Καθώς οι απειλές στον κυβερνοχώρο συνεχίζουν να εξελίσσονται, η έγκαιρη αντιμετώπιση τέτοιων τρωτών σημείων είναι ζωτικής σημασίας για τη διατήρηση της ασφάλειας.
Δείτε επίσης: Η Ivanti προειδοποιεί για νέα ευπάθεια στο CSA
Οι οργανισμοί δεν μπορούν να βασίζονται απλώς σε αντιδραστικά μέτρα για την προστασία των συστημάτων τους. Τα προληπτικά βήματα, όπως η τακτική επιδιόρθωση γνωστών τρωτών σημείων και η εφαρμογή ισχυρών ελέγχων πρόσβασης, είναι απαραίτητα για τον μετριασμό των πιθανών κινδύνων.
Η εκμετάλλευση και ο συνδυασμός των ευπαθειών Ivanti CSA χρησιμεύουν ως υπενθύμιση ότι οι εισβολείς αναζητούν συνεχώς νέους τρόπους διείσδυσης σε δίκτυα και παραβίασης ευαίσθητων δεδομένων. Υπογραμμίζει επίσης τη σημασία της παραμονής σε εγρήγορση και της εφαρμογής ενημερώσεων που παρέχονται από προμηθευτές λογισμικού.
Πηγή: thehackernews.com
