Aller au contenu
Tous les articles

· par NetProtector Security Team

Ivanti Connect Secure : une chaîne de failles zero-day ouvre les passerelles VPN sans authentification

Illustration : des failles enchaînées mènent à la page de connexion de la passerelle VPN, les mots de passe saisis sont exfiltrés vers un serveur tiers

Une passerelle VPN est censée décider qui peut accéder au réseau de l'entreprise. Chez Ivanti Connect Secure – anciennement Pulse Connect Secure – cette décision peut actuellement être entièrement contournée : deux vulnérabilités encore inconnues jusqu'à récemment, CVE-2023-46805 et CVE-2024-21887, permettent à des attaquants d'exécuter des commandes sur la passerelle sans même s'authentifier. Ivanti a rendu ces failles publiques le 10 janvier 2024, et l'agence américaine CISA les a ajoutées le jour même à son catalogue des vulnérabilités activement exploitées. Une semaine plus tard, il n'existe toujours pas de correctif – seulement un contournement.

De quoi s'agit-il

C'est la société de sécurité Volexity qui a découvert les attaques. Au cours de la deuxième semaine de décembre 2023, des mouvements suspects ont été repérés sur le réseau interne d'un client. La piste a mené à la passerelle Ivanti située en bordure d'Internet, d'où émanait une activité anormale depuis au moins le 3 décembre 2023.

Les données clés selon Ivanti, Volexity et la CISA :

  • Vulnérabilités : CVE-2023-46805 est un contournement d'authentification dans le composant web (CVSS 8.2). CVE-2024-21887 est une injection de commandes (CVSS 9.1) qui, prise isolément, nécessite une authentification administrateur. Combinées, cet obstacle disparaît.
  • Versions concernées : toutes les versions prises en charge 9.x et 22.x d'Ivanti Connect Secure et d'Ivanti Policy Secure.
  • Corrigé dans : aucune version pour l'instant. Ivanti prévoit de livrer les correctifs de manière échelonnée – les premiers à partir de la semaine du 22 janvier, les derniers la semaine du 19 février 2024. D'ici là, une mesure d'atténuation est disponible sous forme de fichier XML sur le portail de téléchargement.
  • Condition préalable à l'attaque : une passerelle accessible depuis Internet. L'attaquant n'a besoin d'aucun identifiant – la MFA ne joue donc aucun rôle.
  • Conséquence : exécution de commandes arbitraires sur la passerelle et, par conséquent, contrôle de l'accès au réseau interne.

Pourquoi c'est urgent

Volexity et Mandiant décrivent en détail ce que font les attaquants d'une passerelle compromise. Ils ont modifié un fichier JavaScript de la page de connexion de sorte que chaque mot de passe saisi soit envoyé vers un serveur tiers – Mandiant nomme cet outil WARPWIRE. S'y ajoutaient des webshells, des journaux supprimés et des listes d'exclusion manipulées de l'Integrity Checker Tool propre à Ivanti. Depuis la passerelle, les attaquants se sont déplacés latéralement via RDP, SMB et SSH, ont extrait des identifiants de la mémoire vive de systèmes Windows et copié la base de données Active Directory. Volexity estime probable l'implication d'un acteur étatique chinois, Mandiant évoque une campagne d'espionnage.

La passerelle devient ainsi un point de collecte d'identifiants : quiconque la contrôle voit chaque authentification en clair – y compris les mots de passe que les collaborateurs utilisent ensuite pour se connecter à d'autres systèmes.

Les attaques ciblées isolées se sont depuis transformées en campagne de masse. Le 10 janvier, Ivanti faisait encore état de moins de dix clients touchés. Selon Volexity, l'exploitation à grande échelle a débuté le 11 janvier. En analysant environ 30 000 passerelles Ivanti, l'entreprise a identifié au 14 janvier plus de 1 700 équipements compromis – des petites entreprises aux administrations et opérateurs de télécommunications, jusqu'aux groupes du Fortune 500. Point important : la mesure d'atténuation empêche de nouvelles attaques, mais n'élimine pas un attaquant déjà présent sur l'équipement.

Ce que vous devez faire maintenant

  1. Appliquer immédiatement la mesure d'atténuation. N'attendez pas le correctif. Importez le fichier XML fourni par Ivanti et installez les mises à jour dès qu'elles sont disponibles pour votre version.
  2. Exécuter l'Integrity Checker. Ivanti fournit à cet effet un outil interne et un outil externe. Selon Volexity, tout fichier nouveau ou modifié signalé par le vérificateur constitue un indice fort de compromission. Attention : l'outil externe redémarre l'équipement et écrase la mémoire vive – en cas de soupçon, sauvegardez au préalable la mémoire, le disque et les journaux pour l'analyse forensique.
  3. Stocker les journaux hors de l'équipement. Transférez les journaux via Syslog vers un serveur externe, car les attaquants ont supprimé des journaux sur la passerelle. Selon Volexity, les requêtes d'exploitation elles-mêmes n'apparaissent pas dans les journaux – des journaux sans anomalie ne constituent donc pas un signal de fin d'alerte.
  4. En cas de soupçon, faites appel à un prestataire en analyse forensique, comme le recommande Ivanti. Considérez comme compromis et réinitialisez tous les identifiants stockés sur la passerelle ou saisis par son intermédiaire.
  5. Vérifier le réseau interne. Recherchez les connexions inhabituelles émanant de la passerelle VPN elle-même – par exemple des sessions RDP ou SMB vers des serveurs avec lesquels elle n'a normalement aucun lien.

Ce que cela signifie pour la protection des pare-feu

Ce cas illustre de manière particulièrement nette le problème fondamental des passerelles VPN : elles doivent être exposées sur Internet, et une faille constitue un accès direct au réseau. Cette fois, il n'existe même pas de correctif, seulement une solution transitoire pendant plusieurs semaines. Et entre les premières attaques ciblées et l'exploitation de masse, il ne s'est écoulé qu'un jour.

NetProtector est conçu précisément pour cette fenêtre de temps. L'appliance fonctionne en ligne en amont du pare-feu et de la passerelle VPN et filtre le trafic avant qu'il n'atteigne le portail :

  • Un réseau de capteurs qui repère les attaquants tôt. Des honeypots, des capteurs cloud et des capteurs partenaires enregistrent les adresses depuis lesquelles Internet est scanné à la recherche d'équipements vulnérables. Les sources identifiées comme attaquantes sont également bloquées chez vous par NetProtector – avant qu'elles ne sollicitent votre passerelle.
  • Anomalies dans votre propre trafic. Les scans systématiques, un nombre inhabituel de requêtes depuis une même source ou des schémas d'accès qui ne correspondent pas à l'exploitation normale sont détectés et signalés.
  • Moins d'attaquants jusqu'au correctif. NetProtector ne remplace ni la mesure d'atténuation ni la mise à jour et ne nettoie pas un équipement déjà compromis. Mais il réduit le nombre d'attaquants qui parviennent tout simplement jusqu'à votre passerelle pendant la phase critique.
Le réseau de capteurs
Données analysées
Deep Packet Inspection (couches 2–7)NetFlow / IPFIXRequêtes & réponses DNSMétadonnées de handshake TLS/SSHSyslog & journaux d’événements

D'où proviennent les données du réseau de capteurs et comment NetProtector est placé en amont du pare-feu sans modification du réseau : nous l'expliquons sur la page Comment fonctionne NetProtector.

Notre analyse

Ivanti n'est pas seul face à ce problème : les passerelles VPN de tous les fabricants sont des cibles attrayantes, car elles sont librement accessibles et mènent directement au réseau. Face à une faille exploitable avant toute authentification, même la meilleure MFA est inutile. Ce qui compte alors, c'est la rapidité avec laquelle une mesure d'atténuation est appliquée, la détection d'une intrusion, le stockage des journaux en lieu sûr – et la présence en amont d'une couche qui empêche d'emblée le passage des attaquants connus.

Sources