CVE-2026-104935: Ivanti Connect Secureゼロデイが連鎖攻撃で悪用

概要

UTA0576として追跡されている脅威アクターは、Ivanti Connect Secureアプライアンスの3つの脆弱性のチェーンを利用して、認証されていないルートアクセスを取得しました。攻撃チェーンは、認証バイパスとリモートコード実行の欠陥、未パッチの特権エスカレーションの脆弱性を組み合わせていました。アクターは、インメモリペイロードを使用して、可視性を減少させ、標準的な整合性チェックツールによる検出を回避しました。

調査

Volexityは、ICS VPNアプライアンスを含むインシデントを調査中に活動を特定しました。調査により、アクターがインメモリペイロードをPerl、Bash、およびPythonスクリプトを使用して段階的に展開し、ファイルシステムへの影響を最小限に抑えていたことが明らかになりました。攻撃者の反フォレンジック技術と意図的なログ改ざんにより、メモリおよびディスクイメージングによるフォレンジック再構築が必要でした。

緩和策

組織は、Ivanti Connect Secureを22.8R2.5以降に直ちにアップグレードするか、25.1コードラインに移行する必要があります。ユーザーは、未パッチの特権エスカレーションの脆弱性に警戒し続け、侵害の兆候を継続的に監視する必要があります。Ivanti Integrity Checker Toolのみに依存するのは不十分であり、インメモリの変更を特定できない可能性があります。

対応

疑わしい活動が特定された場合、対応者は詳細なフォレンジック分析のためにメモリイメージ、ディスクイメージ、コアダンプを取得する必要があります。ウェブログを監視し、welcome.cgiへのリクエストの増加やX-DSCGI-PATHヘッダーが関与する異常を確認します。一時ディレクトリで予期しないスクリプトを確認し、改ざんを示す可能性のあるギャップのためにデバッグまたは監査ログを見直します。

シミュレーションの実行

• 攻撃のストーリーとコマンド: 攻撃者は、Ivanti Connect Secureアプライアンスの既知の脆弱性を利用して最初の立ち位置を得ようとしています。URLにおけるパストラバーサルを探す従来の署名ベースのWAFルールを回避するために、攻撃者は X-DSCGI-PATH ヘッダーを使用します。目的は、ウェブサーバーが一時的または書き込み可能なディレクトリ（/home/runtime/tmp/）でスクリプトを実行するようにパスを注入し、認証をバイパスし任意のコマンドを実行可能にすることです。

• 回帰テストスクリプト: このスクリプトは、Sigmaルールで定義された特定のヘッダーとURIの組み合わせを含む悪意のあるHTTPリクエストをシミュレートします。

  #!/bin/bash
  # Ivanti Connect Secure認証バイパス/RCEのシミュレーション
  # 対象：Ivanti Connect Secureウェブインターフェース
  
  TARGET_URL="https://<TARGET_IP>/dana-na/auth/url_default/welcome.cgi"
  MALICIOUS_HEADER="X-DSCGI-PATH: /home/runtime/tmp/"
  
  echo "[*] T1190/T1212のシミュレーションを開始しています..."
  echo "[*] 悪意のあるリクエストを$TARGET_URLに送信中"
  
  # カスタムヘッダーを含むリクエストを送信するためにcurlを使用
  curl -k -X GET "$TARGET_URL" 
       -H "$MALICIOUS_HEADER" 
       -H "User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)" 
       -v
  
  if [ $? -eq 0 ]; then
    echo "[+] リクエストが正常に送信されました。SIEMをチェックして検出してください。"
  else
    echo "[-] リクエストの送信に失敗しました。"
  fi

• クリーンアップコマンド:

  # このシミュレーションによってターゲットシステムに恒久的な変更は加えられません。
  # 実際の攻撃中にファイルがアップロードされた場合は、ここで削除されます。
  echo "[*] クリーンアップ：このシミュレーション中にターゲット上のファイルは変更されませんでした。"