CVE-2026-104935: Vulnerabilità Zero-Day di Ivanti Connect Secure sfruttata in attacchi concatenati

Riepilogo

Un attore di minacce monitorato come UTA0576 ha sfruttato una catena di tre vulnerabilità negli apparecchi Ivanti Connect Secure per ottenere un accesso root senza autenticazione. La catena di attacco ha combinato un bypass di autenticazione con un difetto di esecuzione di codice remoto, seguito da una vulnerabilità di escalation di privilegi non corretta. L’attore si è affidato a payload in memoria per ridurre la visibilità ed eludere il rilevamento da parte degli strumenti di controllo di integrità standard.

Indagine

Volexity ha identificato l’attività mentre investigava un incidente che coinvolgeva un dispositivo VPN ICS. L’indagine ha mostrato che l’attore ha distribuito un payload in memoria a stadi utilizzando script Perl, Bash e Python per minimizzare le tracce sul file system. La ricostruzione forense ha richiesto il rilevamento della memoria e delle immagini del disco a causa delle tecniche anti-forensi dell’attaccante e della manomissione intenzionale dei log.

Mitigazione

Le organizzazioni dovrebbero aggiornare immediatamente Ivanti Connect Secure alla versione 22.8R2.5 o successiva, oppure passare alla linea di codice 25.1. Gli utenti dovrebbero rimanere vigili nei confronti della vulnerabilità di escalation di privilegi non corretta e monitorare continuamente segni di compromissione. Affidarsi esclusivamente allo strumento Ivanti Integrity Checker è insufficiente, poiché potrebbe non riuscire a identificare modifiche in memoria.

Risposta

Quando viene identificata un’attività sospetta, i responsabili dovrebbero acquisire immagini della memoria, immagini del disco e core dump per un’analisi forense dettagliata. Monitorare i log web per volumi elevati di richieste a welcome.cgi e anomalie riguardanti l’intestazione X-DSCGI-PATH. Ispezionare le directory temporanee per script inattesi e controllare i log di debug o audit per lacune che potrebbero indicare manomissioni.

Esecuzione Simulazione

• Narrativa dell’Attacco & Comandi: L’avversario cerca di sfruttare una vulnerabilità nota nell’apparecchio Ivanti Connect Secure per ottenere un punto d’appoggio iniziale. Per evitare le regole tradizionali del WAF basate su firme che cercano il path traversal nell’URL stesso, l’attaccante utilizza l’intestazione X-DSCGI-PATH . L’obiettivo è iniettare un percorso che indirizzi il server web a eseguire uno script in una directory temporanea o scrivibile (/home/runtime/tmp/), bypassando effettivamente l’autenticazione e permettendo l’esecuzione arbitraria di comandi.

• Script di Test di Regressione: Questo script simula la richiesta HTTP malevola contenente la specifica combinazione di intestazione e URI definita nella regola Sigma.

  #!/bin/bash
  # Simulazione di Bypass di Autenticazione/RCE di Ivanti Connect Secure
  # Obiettivo: Interfaccia Web di Ivanti Connect Secure
  
  TARGET_URL="https://<TARGET_IP>/dana-na/auth/url_default/welcome.cgi"
  MALICIOUS_HEADER="X-DSCGI-PATH: /home/runtime/tmp/"
  
  echo "[*] Avvio simulazione di T1190/T1212..."
  echo "[*] Invio richiesta malevola a $TARGET_URL"
  
  # Utilizzo di curl per inviare l'intestazione creata
  curl -k -X GET "$TARGET_URL" 
       -H "$MALICIOUS_HEADER" 
       -H "User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)" 
       -v
  
  if [ $? -eq 0 ]; then
    echo "[+] Richiesta inviata con successo. Controlla il SIEM per il rilevamento."
  else
    echo "[-] Invio richiesta fallito."
  fi

• Comandi di Pulizia:

  # Non vengono apportate modifiche permanenti al sistema di destinazione da questa simulazione.
  # Se fossero stati caricati file durante un attacco reale, verrebbero rimossi qui.
  echo "[*] Pulizia: Nessun file è stato modificato durante questa simulazione."