CVE-2026-104935: In Ivanti Connect Secure entdeckter Zero-Day-Exploit in Kettenangriffen ausgenutzt

Zusammenfassung

Ein Bedrohungsakteur, verfolgt als UTA0576, nutzte eine Kette von drei Schwachstellen in Ivanti Connect Secure-Geräten aus, um unbefugten Root-Zugriff zu erlangen. Die Angriffskette kombinierte einen Authentifizierungs-Bypass mit einer Schwachstelle zur Remote-Code-Ausführung, gefolgt von einer nicht gepatchten Schwachstelle zur Rechteausweitung. Der Akteur verließ sich auf In-Memory-Payloads, um die Sichtbarkeit zu verringern und der Erkennung durch Standardintegritäts-Check-Tools zu entgehen.

Untersuchung

Volexity identifizierte die Aktivität, während es einen Vorfall untersuchte, der ein ICS-VPN-Gerät betraf. Die Untersuchung zeigte, dass der Akteur eine mehrstufige In-Memory-Payload mithilfe von Perl-, Bash- und Python-Skripten bereitstellte, um seine Spuren im Dateisystem zu minimieren. Eine forensische Rekonstruktion erforderte Speicher- und Festplattenimaging aufgrund der antiforensischen Techniken des Angreifers und der absichtlichen Manipulation von Protokollen.

Minderung

Organisationen sollten sofort auf Ivanti Connect Secure Version 22.8R2.5 oder höher upgraden oder auf die Code-Linie 25.1 umsteigen. Benutzer sollten wachsam gegenüber der ungepatchten Schwachstelle zur Rechteausweitung bleiben und kontinuierlich auf Anzeichen von Kompromittierung überwachen. Allein auf das Ivanti Integrity Checker Tool zu vertrauen ist unzureichend, da es möglicherweise In-Memory-Änderungen nicht identifizieren kann.

Reaktion

Wenn verdächtige Aktivitäten identifiziert werden, sollten Ermittler Speicherabbilder, Festplattenabbilder und Kerndumps für eine detaillierte forensische Analyse sichern. Überwachen Sie Web-Protokolle auf erhöhte Anfragenvolumina an welcome.cgi und Anomalien, die den X-DSCGI-PATH-Header betreffen. Untersuchen Sie temporäre Verzeichnisse auf unerwartete Skripte und prüfen Sie Debug- oder Audit-Protokolle auf Lücken, die Manipulationen anzeigen könnten.

Simulationsausführung

• Angriffsschilderung & Befehle: Der Gegner versucht, eine bekannte Schwachstelle im Ivanti Connect Secure-Gerät auszunutzen, um einen ersten Zugriff zu erlangen. Um traditionelle, auf Signaturen basierende WAF-Regeln zu umgehen, die nach Pfadüberschreitungen in der URL suchen, verwendet der Angreifer den X-DSCGI-PATH Header. Das Ziel ist es, einen Pfad zu injizieren, der den Webserver veranlasst, ein Skript in einem temporären oder beschreibbaren Verzeichnis (/home/runtime/tmp/) auszuführen, wodurch die Authentifizierung umgangen und eine willkürliche Befehlsausführung ermöglicht wird.

• Regressionstest-Skript: Dieses Skript simuliert die bösartige HTTP-Anfrage, die die spezifische Header- und URI-Kombination enthält, die in der Sigma-Regel definiert ist.

  #!/bin/bash
  # Simulation von Ivanti Connect Secure Authentifizierungs-Bypass/RCE
  # Ziel: Ivanti Connect Secure Weboberfläche
  
  TARGET_URL="https://<TARGET_IP>/dana-na/auth/url_default/welcome.cgi"
  MALICIOUS_HEADER="X-DSCGI-PATH: /home/runtime/tmp/"
  
  echo "[*] Beginn der Simulation von T1190/T1212..."
  echo "[*] Senden der bösartigen Anfrage an $TARGET_URL"
  
  # Verwendung von curl, um den gestalteten Header zu senden
  curl -k -X GET "$TARGET_URL" 
       -H "$MALICIOUS_HEADER" 
       -H "User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)" 
       -v
  
  if [ $? -eq 0 ]; then
    echo "[+] Anfrage erfolgreich gesendet. Prüfen Sie SIEM zur Erkennung."
  else
    echo "[-] Anfrage senden fehlgeschlagen."
  fi

• Bereinigungsbefehle:

  # Durch diese Simulation werden keine dauerhaften Änderungen am Zielsystem vorgenommen.
  # Wenn während eines echten Angriffs Dateien hochgeladen wurden, würden sie hier entfernt.
  echo "[*] Bereinigung: Während dieser Simulation wurden keine Dateien auf dem Ziel verändert."