Ivanti Parchea Dos Vulnerabilidades de Día Cero Bajo Ataque, Pero Encuentra Otra

Ivanti identificó dos nuevas vulnerabilidades de día cero en su dispositivo VPN Connect Secure, las cuales están siendo explotadas activamente por actores de amenazas. Estas fallas se suman a las ya conocidas CVE-2023-46805 y CVE-2024-21887, afectando la seguridad de las redes corporativas.

Ivanti anunció la detección de dos vulnerabilidades adicionales en su dispositivo VPN Connect Secure: CVE-2024-21888 y CVE-2024-21893. La primera es una falla de escalada de privilegios, mientras que la segunda es un bug del lado del servidor que permite el acceso a recursos restringidos sin autenticación. Esta última se clasifica como un día cero debido a que el fabricante no pudo corregirla antes de que comenzara su explotación activa.

Contexto de las vulnerabilidades y actores involucrados

Estas nuevas fallas impactan dispositivos que ya habían sido blanco de ataques previos. Desde diciembre, actores respaldados por el estado chino han explotado las vulnerabilidades CVE-2023-46805 y CVE-2024-21887 para infiltrarse en redes y extraer información. Aunque Ivanti no ha atribuido las intrusiones actuales a un grupo específico, las firmas Volexity y Mandiant identificaron a grupos con fines de espionaje en la primera ola de ataques. Volexity reportó que al menos 1,700 dispositivos fueron comprometidos en sectores como el bancario, aeroespacial, de defensa, gubernamental y de telecomunicaciones.

Impacto en las mitigaciones actuales

La Oficina Federal de Seguridad de la Información de Alemania (BSI) advirtió que el bug del lado del servidor pone en riesgo a los sistemas que ya habían sido mitigados anteriormente. CISA también emitió un aviso indicando que los atacantes han logrado evadir los parches y métodos de detección vigentes. Ivanti espera un aumento en la explotación de estas fallas una vez que los detalles técnicos sean públicos. El parche lanzado por el fabricante para proteger contra las vulnerabilidades previas también incluye protección contra las dos nuevas fallas detectadas el miércoles.

Por qué importa y qué hacer

La persistencia de los actores de amenazas en dispositivos de acceso remoto como Ivanti Connect Secure representa un riesgo crítico para la infraestructura de red. El hecho de que los atacantes logren evadir mitigaciones actuales indica que las organizaciones deben actuar con rapidez para asegurar sus perímetros.

• Restablezcan de fábrica el dispositivo antes de aplicar el parche para evitar la persistencia del atacante.
• Apliquen el parche de seguridad más reciente proporcionado por Ivanti.
• Revisen los registros en busca de intentos de acceso no autenticado a recursos restringidos.
• Monitoreen activamente los dispositivos VPN para detectar anomalías en el comportamiento de red.

Relacionado:
Nueva vulnerabilidad de día cero en Cisco SD-WAN (CVE-2026-76504)
SectopRAT regresa ocultándose dentro de una aplicación legítima
Cisco revela vulnerabilidades zero-day en la autenticación de APIs

Fuente:
https://techcrunch.com/2024/01/31/ivanti-patches-two-zero-days-under-attack-but-finds-another/

Nota elaborada por Ciberseguridad en español a partir de información publicada por TechCrunch. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.