CVE-2026-104935: Vulnerabilidad Zero-Day en Ivanti Connect Secure Explotada en Ataques Encadenados

Resumen

Un actor de amenaza identificado como UTA0576 explotó una cadena de tres vulnerabilidades en los dispositivos Ivanti Connect Secure para obtener acceso root no autenticado. La cadena de ataque combinaba un bypass de autenticación con una falla de ejecución de código remoto, seguido por una vulnerabilidad de escalamiento de privilegios no parcheada. El actor se basó en cargas útiles en memoria para reducir la visibilidad y evadir la detección por herramientas de verificación de integridad estándar.

Investigación

Volexity identificó la actividad mientras investigaba un incidente que involucraba un dispositivo VPN ICS. La investigación mostró que el actor desplegó una carga útil escalonada en memoria utilizando scripts Perl, Bash y Python para minimizar su presencia en el sistema de archivos. La reconstrucción forense requirió imágenes de memoria y disco debido a las técnicas antiforenses del atacante y la manipulación deliberada de registros.

Mitigación

Las organizaciones deben actualizar inmediatamente Ivanti Connect Secure a la versión 22.8R2.5 o posterior, o pasar a la línea de código 25.1. Los usuarios deben mantenerse alerta a la falla de escalamiento de privilegios no parcheada y monitorear continuamente en busca de signos de compromiso. Depender únicamente de la herramienta Ivanti Integrity Checker es insuficiente porque puede no identificar modificaciones en memoria.

Respuesta

Cuando se identifica actividad sospechosa, los respondedores deben adquirir imágenes de memoria, imágenes de disco y volcados de núcleo para un análisis forense detallado. Monitorear los registros web en busca de altos volúmenes de solicitudes hacia welcome.cgi y anomalías relacionadas con el encabezado X-DSCGI-PATH. Inspeccionar directorios temporales en busca de scripts inesperados y revisar registros de depuración o auditoría en busca de lagunas que podrían indicar manipulación.

Ejecución de Simulación

• Narrativa del Ataque & Comandos: El adversario busca explotar una vulnerabilidad conocida en el dispositivo Ivanti Connect Secure para obtener un punto de apoyo inicial. Para evitar las reglas tradicionales basadas en firmas del WAF que buscan recorridos de ruta en la propia URL, el atacante utiliza el X-DSCGI-PATH encabezado. El objetivo es inyectar una ruta que dirija al servidor web a ejecutar un script en un directorio temporal o escribible (/home/runtime/tmp/), eludiendo efectivamente la autenticación y permitiendo la ejecución de comandos arbitrarios.

• Script de Prueba de Regresión: Este script simula la solicitud HTTP maliciosa que contiene la combinación específica de encabezado y URI definida en la regla Sigma.

  #!/bin/bash
  # Simulación de Bypass de Autenticación/RCE de Ivanti Connect Secure
  # Objetivo: Interfaz Web Ivanti Connect Secure
  
  TARGET_URL="https://<TARGET_IP>/dana-na/auth/url_default/welcome.cgi"
  MALICIOUS_HEADER="X-DSCGI-PATH: /home/runtime/tmp/"
  
  echo "[*] Iniciando simulación de T1190/T1212..."
  echo "[*] Enviando solicitud maliciosa a $TARGET_URL"
  
  # Usando curl para enviar el encabezado manipulado
  curl -k -X GET "$TARGET_URL" 
       -H "$MALICIOUS_HEADER" 
       -H "User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)" 
       -v
  
  if [ $? -eq 0 ]; then
    echo "[+] Solicitud enviada exitosamente. Verifique SIEM para detección."
  else
    echo "[-] Error al enviar solicitud."
  fi

• Comandos de Limpieza:

  # No se realizan cambios permanentes en el sistema objetivo con esta simulación.
  # Si se subieron archivos durante un ataque real, serían eliminados aquí.
  echo "[*] Limpieza: No se modificaron archivos en el objetivo durante esta simulación."