Ivanti 周三发布了针对本月早些时候披露的两个关键零日漏洞的补丁，但同时也警告客户注意两个新漏洞，其中包括一个正在被利用的新零日漏洞。
在 1 月 10 日的安全公告中， 伊万蒂详细 两个零日远程代码执行漏洞（编号为 CVE-2023-46805 和 CVE-2024-21887）影响 Ivanti Policy Secure (IPS) 和 Ivanti Connect Secure (ICS)。 一周后，被 Ivanti 认为是发现者的 Volexity 证实： 全球 1,700 台设备受到威胁 自12月初以来。
Volexity 和 Mandiant 也对利用活动进行了调查，并将这些攻击归咎于中国民族国家威胁行为者。 供应商还透露，威胁行为者部署了 Web shell 来维持对易受攻击的 ICS 设备的持续访问，这使得缓解变得更加困难。
虽然 Ivanti 周三宣布了 CVE-2023-46805 和 CVE-2024-21887 的第一轮修复，但该软件供应商还披露了 ICS 和 IPS 中的两个新错误。
一个是编号为 CVE-2024-21888 的权限升级漏洞，另一个是编号为 CVE-2024-21893 的服务器端请求伪造漏洞。 伊万蒂警告说，后者是 零日漏洞 这可能允许未经身份验证的攻击者访问某些受限制的资源，并且正在被积极利用。
“在发布时，CVE-2024-21893 的利用似乎是有针对性的。Ivanti 预计威胁行为者会改变他们的行为，我们预计一旦此信息公开，利用行为就会急剧增加 – 类似于我们在1 月 10 日披露后的 1 月 11 日，”Ivanti 在更新后的报告中写道 安全咨询。
Ivanti 表示，“没有证据”表明 CVE-2024-21888 正在被利用来针对客户。 周三发布的补丁修复了 ICS 版本 9.1R14.4、9.1R17.2、9.1R18.3、22.4R2.2 和 22.5R1.1 以及 ZTA 版本 22.6R1.3 的所有四个漏洞； 然而，这是一个多步骤的过程。
该咨询称：“出于谨慎考虑，我们建议客户在应用补丁之前将其设备重置为出厂设置，以防止威胁行为者在您的环境中获得持久性升级，这是最佳做法。”
Ivanti 将用户引导至 知识库文章 并警告说，该过程将需要三到四个小时才能完成。 除了复杂的修补过程之外，Ivanti 还推迟了之前的零日漏洞补丁的发布日期，原定于 1 月 22 日这一周发布。
Ivanti 向 TechTarget 编辑部发送了以下声明：
客户的安全是我们的首要任务。 作为我们正在进行的调查的一部分，我们在 Ivanti Connect Secure 和 Ivanti Policy Secure 中发现了另外两个漏洞。 我们在今天发布的补丁中包含了对这些漏洞和之前发现的漏洞的修复，计划发布的其他版本的补丁也将包含全面的修复。 1月31日发布的补丁覆盖了我们的大部分客户。 为了客户的最大利益，我们还提供了新的缓解措施，而其余补丁版本正在开发中。
我们强烈鼓励客户在补丁可用时应用其版本的补丁。 虽然其他补丁版本正在开发中，但他们应该应用缓解措施并运行内部和外部 ICT。
妥协后的挑战
周二，CISA 发布了一条警报，敦促 Ivanti 客户在补丁和缓解措施可用后立即应用，因为存在持续的漏洞利用。 该警报警告说，威胁行为者正在利用这些漏洞来收集凭据并部署 Web shell，从而对受害者网络造成额外的危害。
CISA 在报告中写道：“一些威胁行为者最近针对当前的缓解措施和检测方法开发了变通办法，并且能够利用弱点、横向移动以及在不被发现的情况下升级权限。” 警报。 “CISA 意识到复杂的威胁行为者已经破坏了外部完整性检查工具 (ICT)，从而进一步减少了他们的入侵痕迹。”
ICT 有助于检测威胁活动，Ivanti 添加了一项敦促用户运行的新功能。 CISA 建议自公开披露以来已运行 ICS 9.x 和 22.x 版本以及策略安全网关的组织实施“对连接到（或最近连接到）Ivanti 设备的任何系统进行持续威胁追踪”。 该警报还鼓励企业监控身份验证和帐户使用情况，并实施身份管理服务。
CISA 发出警报后 紧急指令 (ED) 于 1 月 19 日发布，要求联邦机构缓解 CVE-2023-46805 和 CVE-2024-21887。 ED 还证实，CISA 观察到 Ivanti 缺陷被广泛利用。 除了警报中列出的风险外，CISA 表示，利用该漏洞还可能导致整个系统受到损害。
CISA 给各机构的缓解期限为 1 月 22 日。
“CISA 已确定这些情况对联邦民事行政部门 (FCEB) 机构构成不可接受的风险，需要采取紧急行动。这一确定是基于多个威胁行为者广泛利用漏洞、联邦企业中受影响产品的普遍存在、 CISA 在征求意见稿中写道：“机构信息系统受到损害的可能性很大、成功损害的影响以及拟议缓解措施的复杂性。”
Tenable 研究工程师 Scott Caveza 和 Satnam Narang 发表了 博客文章 1 月 10 日，关于最初的 Ivanti 零日漏洞。 研究人员警告说，Pulse Connect Secure 一直是勒索软件组织和其他民族国家威胁行为者的热门目标。 他们列出了过去五年中 VPN 产品被利用的八个漏洞。 例如，2021 年， 中国黑客利用身份验证绕过 Ivanti 针对政府目标的漏洞。
Arielle Waldman 是一位驻波士顿记者，报道企业安全新闻。
1706739841
#Ivanti #披露新的零日漏洞并延迟发布补丁
2024-01-31 15:40:00
