Vai al contenuto
Tutti gli articoli

· di NetProtector Security Team

Ivanti Connect Secure: una catena di zero-day apre i gateway VPN senza autenticazione

Illustrazione: vulnerabilità concatenate conducono alla pagina di accesso del gateway VPN, le password inserite vengono inviate a un server esterno

Un gateway VPN ha il compito di decidere chi può accedere alla rete aziendale. Con Ivanti Connect Secure, il precedente Pulse Connect Secure, questa decisione può attualmente essere aggirata del tutto: due vulnerabilità fino a poco tempo fa sconosciute, CVE-2023-46805 e CVE-2024-21887, consentono agli attaccanti di eseguire comandi sul gateway senza nemmeno autenticarsi. Ivanti ha reso pubbliche le vulnerabilità il 10 gennaio 2024 e lo stesso giorno l'agenzia statunitense CISA le ha inserite nel proprio catalogo delle vulnerabilità attivamente sfruttate. A una settimana di distanza non esiste ancora una patch, ma soltanto un workaround.

Di cosa si tratta

Gli attacchi sono stati scoperti dalla società di sicurezza Volexity. Nella seconda settimana di dicembre 2023 sono stati rilevati movimenti sospetti nella rete interna di un cliente. Le tracce hanno condotto al gateway Ivanti posto sull'accesso a Internet, dal quale partiva un'attività anomala almeno dal 3 dicembre 2023.

I dati principali secondo Ivanti, Volexity e CISA:

  • Vulnerabilità: CVE-2023-46805 è un authentication bypass nel componente web (CVSS 8.2). CVE-2024-21887 è una command injection (CVSS 9.1) che, presa singolarmente, richiede un accesso come amministratore. In combinazione, questo ostacolo viene meno.
  • Prodotti interessati: tutte le versioni supportate 9.x e 22.x di Ivanti Connect Secure e Ivanti Policy Secure.
  • Corretta in: nessuna versione per ora. Ivanti intende rilasciare le patch in modo scaglionato: le prime a partire dalla settimana del 22 gennaio, le ultime nella settimana del 19 febbraio 2024. Fino ad allora è disponibile una mitigation sotto forma di file XML nel portale di download.
  • Prerequisito per l'attacco: un gateway raggiungibile da Internet. L'attaccante non ha bisogno di credenziali, e di conseguenza anche l'MFA non ha alcun ruolo.
  • Conseguenza: esecuzione di comandi arbitrari sul gateway e quindi controllo dell'accesso alla rete interna.

Perché è urgente

Volexity e Mandiant descrivono in dettaglio che cosa fanno gli attaccanti con un gateway compromesso. Hanno modificato un file JavaScript della pagina di accesso in modo che ogni password inserita venisse inviata a un server esterno: Mandiant chiama questo strumento WARPWIRE. A ciò si aggiungono webshell, log cancellati e liste di eccezioni manipolate dell'Integrity Checker Tool di Ivanti. Dal gateway, gli attaccanti si sono spostati lateralmente tramite RDP, SMB e SSH, hanno estratto credenziali dalla memoria dei sistemi Windows e copiato il database di Active Directory. Volexity ritiene probabile un attore statale cinese, Mandiant ipotizza una campagna di spionaggio.

Il gateway diventa così un punto di raccolta di credenziali: chi lo controlla vede ogni accesso in chiaro, comprese le password con cui i dipendenti si autenticano successivamente su altri sistemi.

Dagli attacchi mirati isolati si è passati nel frattempo a una campagna di massa. Il 10 gennaio Ivanti parlava ancora di meno di dieci clienti colpiti. Secondo Volexity, lo sfruttamento su larga scala è iniziato l'11 gennaio. Analizzando circa 30.000 gateway Ivanti, la società ha individuato entro il 14 gennaio oltre 1.700 dispositivi compromessi: da piccole imprese a enti pubblici e operatori di telecomunicazioni, fino ad aziende Fortune 500. Un aspetto importante: la mitigation impedisce nuovi attacchi, ma non rimuove un attaccante già presente sul dispositivo.

Cosa dovreste fare ora

  1. Applicare subito la mitigation. Non attendete la patch. Importate il file XML fornito da Ivanti e installate gli aggiornamenti non appena saranno disponibili per la vostra versione.
  2. Eseguire l'Integrity Checker. Ivanti mette a disposizione a tale scopo uno strumento interno e uno esterno. Secondo Volexity, i file nuovi o modificati segnalati dal checker sono un forte indizio di compromissione. Attenzione: lo strumento esterno riavvia il dispositivo e sovrascrive la memoria; in caso di sospetto, salvate prima memoria, disco e log per l'analisi forense.
  3. Conservare i log al di fuori del dispositivo. Inoltrate i log tramite syslog a un server esterno, poiché gli attaccanti hanno cancellato i log sul gateway. Secondo Volexity, le richieste di exploit stesse non compaiono nei log: un log privo di anomalie non è quindi un segnale di cessato allarme.
  4. In caso di sospetto, coinvolgere un fornitore di servizi forensi, come raccomandato da Ivanti. Tutte le credenziali memorizzate sul gateway o inserite tramite esso devono essere considerate compromesse e reimpostate.
  5. Verificare la rete interna. Cercate connessioni insolite in uscita dal gateway VPN stesso, ad esempio sessioni RDP o SMB verso server con cui normalmente non ha alcuna interazione.

Cosa significa per la protezione dei firewall

Questo caso mostra con particolare evidenza il problema di fondo dei gateway VPN: devono essere esposti su Internet, e una loro vulnerabilità rappresenta una via diretta verso la rete. Questa volta non esiste nemmeno una patch, ma per settimane soltanto una soluzione provvisoria. E tra i primi attacchi mirati e lo sfruttamento di massa è trascorso un solo giorno.

NetProtector è pensato proprio per questa finestra temporale. L'appliance opera in linea davanti al firewall e al gateway VPN e filtra il traffico prima che raggiunga il portale:

  • Una rete di sensori che individua presto gli attaccanti. Honeypot, sensori cloud e sensori dei partner registrano da quali indirizzi Internet viene scansionato alla ricerca di dispositivi vulnerabili. Le sorgenti identificate come attaccanti vengono bloccate da NetProtector anche presso di voi, prima che contattino il vostro gateway.
  • Anomalie nel vostro traffico. Scansioni sistematiche, un numero insolitamente elevato di richieste da un'unica sorgente o schemi di accesso non coerenti con il normale funzionamento vengono rilevati e segnalati.
  • Meno attaccanti fino alla patch. NetProtector non sostituisce né la mitigation né l'aggiornamento e non ripulisce un dispositivo già compromesso. Riduce però il numero di attaccanti che riescono a raggiungere il vostro gateway nella fase critica.
La rete di sensori
Dati analizzati
Deep Packet Inspection (livelli 2–7)NetFlow / IPFIXQuery e risposte DNSMetadati di handshake TLS/SSHSyslog e log degli eventi

Da dove provengono i dati della rete di sensori e come NetProtector viene posizionato davanti al firewall senza modificare la rete è illustrato nella pagina Come funziona NetProtector.

La nostra valutazione

Ivanti non è l'unica ad affrontare questo problema: i gateway VPN di tutti i produttori sono obiettivi attraenti, perché sono raggiungibili pubblicamente e conducono direttamente nella rete. Contro una vulnerabilità che agisce prima di qualsiasi autenticazione, nemmeno la migliore MFA è d'aiuto. Ciò che conta allora è la rapidità con cui viene applicata una mitigation, se un'intrusione viene notata, se i log sono conservati in un luogo sicuro e se a monte è presente un livello che non lascia nemmeno passare gli attaccanti noti.

Fonti