Ivanti Parchea Dos Vulnerabilidades de Día Cero Bajo Ataque, Pero Encuentra Otra

Ivanti advirtió el miércoles que los hackers están explotando otra vulnerabilidad de día cero previamente no divulgada que afecta su ampliamente utilizado dispositivo VPN corporativo.

Desde principios de diciembre, hackers respaldados por el estado chino han estado explotando las fallas de Ivanti Connect Secure — rastreadas como CVE-2023-46805 y CVE-2024-21887 — para irrumpir en las redes de clientes y robar información.

Ivanti ahora advierte que ha descubierto dos fallas adicionales — rastreadas como CVE-2024-21888 y CVE-2024-21893 — que afectan su producto VPN Connect Secure. La primera se describe como una vulnerabilidad de escalada de privilegios, mientras que la última — conocida como un día cero porque Ivanti no tuvo tiempo de arreglar el bug antes de que los hackers comenzaran a explotarlo — es un bug del lado del servidor que permite a un atacante acceder a ciertos recursos restringidos sin autenticación.

En su divulgación actualizada, Ivanti dijo que ha observado la explotación "dirigida" del bug del lado del servidor. La Oficina Federal de Seguridad de la Información de Alemania, conocida como BSI, dijo en un aviso traducido el miércoles que tiene conocimiento de "múltiples sistemas comprometidos".

El BSI agregó que las vulnerabilidades recién descubiertas, particularmente el bug del lado del servidor, "ponen en riesgo nuevamente a todos los sistemas previamente mitigados". Ivanti confirmó que espera "un fuerte aumento en la explotación" una vez que se hagan públicos los detalles de la vulnerabilidad.

Ivanti no ha atribuido estas intrusiones a un grupo de amenazas particular. Las compañías de ciberseguridad Volexity y Mandiant previamente atribuyeron la explotación de la ronda inicial de bugs de Connect Secure a un grupo de hacking respaldado por el gobierno de China motivado por el espionaje. Volexity también dijo que había observado grupos de hacking adicionales explotando activamente los bugs.

Ivanti actualizó su recuento de clientes afectados a "menos de 20". Cuando TechCrunch contactó a Ivanti el miércoles, Kareena Garg, una portavoz de la agencia que representa a Ivanti, no quiso decir cuántos clientes están afectados por las nuevas vulnerabilidades.

Sin embargo, Volexity dijo a principios de este mes que al menos 1,700 dispositivos Ivanti Connect Secure en todo el mundo habían sido explotados por la primera ronda de fallas, afectando a organizaciones en las industrias aeroespacial, bancaria, de defensa, gubernamental y de telecomunicaciones, aunque el número probablemente sea mucho mayor.

Esto es particularmente cierto a la luz de un aviso de CISA lanzado el martes, que advirtió que los atacantes habían eludido los parches para las mitigaciones y métodos de detección actuales.

La divulgación de Ivanti del nuevo día cero se produce el mismo día en que la compañía lanzó un parche para proteger contra las vulnerabilidades de Connect Secure previamente divulgadas — y posteriormente explotadas ampliamente —, aunque una semana más tarde de lo que la compañía había planeado originalmente. La portavoz de Ivanti, Garg, le dijo a TechCrunch que los parches también protegen contra las dos nuevas vulnerabilidades divulgadas el miércoles.

No está claro si el parche está disponible para todos los usuarios de Ivanti Connect Secure, ya que la compañía dijo anteriormente que planeaba lanzar el parche de forma "escalonada" a partir del 22 de enero. Ivanti ahora aconseja que los clientes "restablezcan de fábrica su dispositivo antes de aplicar el parche para evitar que el actor de amenazas obtenga persistencia de actualización en su entorno".

Fuente y créditos: Ivanti patches two zero-days under attack, but finds another | TechCrunch

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.