CVE-2026-104935：Ivanti Connect Secure零日漏洞在链式攻击中被利用

摘要

被跟踪为UTA0576的威胁行为者利用了Ivanti Connect Secure设备中的三个漏洞链，以获取未经认证的root访问权限。攻击链将身份验证绕过与远程代码执行缺陷结合起来，随后是一个未修补的特权提升漏洞。该行为者依赖内存中的有效载荷来减少可见性并逃避标准完整性检查工具的检测。

调查

Volexity在调查一起涉及ICS VPN设备的事件时发现了这一活动。调查显示，该行为者使用Perl、Bash和Python脚本部署了一种分阶段的内存中有效载荷，以最小化其文件系统足迹。由于攻击者的反取证技术和蓄意的日志篡改，法医学重建需要内存和磁盘镜像。

缓解措施

组织应立即将Ivanti Connect Secure升级至22.8R2.5或更高版本，或过渡到25.1代码行。用户应保持警惕以应对未修补的特权提升缺陷，并持续监测是否有妥协的迹象。单靠Ivanti完整性检查工具是不够的，因为它可能无法识别内存中的修改。

响应

当识别到可疑活动时，响应者应获取内存镜像、磁盘镜像和核心转储，以进行详细的法证分析。监控web日志中对welcome.cgi请求的高流量和涉及X-DSCGI-PATH头的异常活动。检查临时目录中的意外脚本，并查看是否有可能指示篡改的调试或审计日志缺失。

模拟执行

• 攻击叙述与命令： 对手试图利用Ivanti Connect Secure设备中的已知漏洞以获得初始立足点。为了避免传统签名基于的WAF规则（这些规则在URL本身中查找路径遍历），攻击者利用了 X-DSCGI-PATH 头。目标是注入一个路径，该路径指示web服务器在临时或可写目录中执行脚本（/home/runtime/tmp/），有效地绕过身份验证并允许任意命令执行。

• 回归测试脚本： 此脚本模拟包含在Sigma规则中定义的特定头和URI组合的恶意HTTP请求。

  #!/bin/bash
  # Ivanti Connect Secure 身份验证绕过/RCE的模拟
  # 目标：Ivanti Connect Secure Web接口
  
  TARGET_URL="https://<TARGET_IP>/dana-na/auth/url_default/welcome.cgi"
  MALICIOUS_HEADER="X-DSCGI-PATH: /home/runtime/tmp/"
  
  echo "[*] 开始模拟 T1190/T1212..."
  echo "[*] 向 $TARGET_URL 发送恶意请求"
  
  # 使用curl发送制作的头
  curl -k -X GET "$TARGET_URL" 
       -H "$MALICIOUS_HEADER" 
       -H "User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)" 
       -v
  
  if [ $? -eq 0 ]; then
    echo "[+] 请求发送成功。检查SIEM检测。"
  else
    echo "[-] 请求发送失败。"
  fi

• 清理命令：

  # 此模拟不会对目标系统进行永久性更改。
  # 如果在实际攻击中上传了任何文件，它们会在这里被移除。
  echo "[*] 清理：此模拟过程中没有文件被修改。"