Le backdoor stanno infettando Ivanti Connect Secure e Policy Secure sfruttando il bug SSRF

Redazione RHC : 15 Febbraio 2024 07:08

Gli esperti di sicurezza hanno scoperto che l’ultima vulnerabilità 0-day CVE-2024-21893, viene utilizzata per installare la nuova backdoor DSLog sui dispositivi vulnerabili. Il bug è relativo a Ivanti Connect Secure, Policy Secure e gateway ZTA.

Ricordiamo che due vulnerabilità zero-day CVE-2024-21893 e CVE-2024-21888, sono diventate note all’inizio di febbraio 2024. Il problema CVE-2024-21893 è una vulnerabilità SSRF lato server nel componente SAML. L’errore consente di ignorare l’autenticazione e ottenere l’accesso a determinate risorse su dispositivi vulnerabili (versioni 9.xe 22.x).

Sgli sviluppatori hanno prontamente rilasciato le correzioni per Ivanti Connect Secure 9.1R14.4, 9.1R17.2, 9.1R18.3, 22.4R2.2, 22.5R1.1 e 22.5R2.2. Hanno aggiornato anche Ivanti Policy Secure 22.5R1 .1 e ZTA versione 22.6R1.3. All’inizio di febbraio i ricercatori avevano già avvertito che la vulnerabilità sarebbe stata soggetta ad attacchi massicci da parte di aggressori. Inoltre, l’aumento del numero di attacchi è stato chiaramente facilitato da un exploit PoC, pubblicato dagli esperti di Rapid7 .

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Secondo un nuovo rapporto di Orange Cyberdefense, lo sfruttamento riuscito del CVE-2024-21893 comporta l’installazione di una backdoor chiamata DSLog. Questa consente agli aggressori di eseguire comandi da remoto sui server Ivanti compromessi. Secondo i ricercatori, la nuova backdoor è stata scoperta per la prima volta il 3 febbraio 2024, dopo aver analizzato un dispositivo compromesso a cui non era stata applicata alcuna patch.

Dopo aver esaminato i registri del dispositivo compromesso, i ricercatori hanno scoperto una backdoor creata inviando richieste di autenticazione SAML contenenti comandi codificati. Questi comandi eseguivano operazioni come l’output delle informazioni di sistema in un file accessibile pubblicamente (index2.txt). L’obiettivo degli aggressori era condurre una ricognizione interna e confermare il loro accesso root.

Le successive richieste SAML sembravano tentativi di effettuare autorizzazioni di lettura/scrittura sul file system del dispositivo compromesso. Il compito principale della backdoor è eseguire comandi come root. Secondo gli esperti, DSLog è in grado di eseguire “qualsiasi comando” ricevuto dagli aggressori tramite richieste HTTP.

Alla fine, gli esperti hanno scoperto circa 700 server Ivanti violati infetti da DSLog. Inoltre, circa il 20% di questi dispositivi sono stati precedentemente colpiti da altre campagne malevole, mentre il resto era vulnerabile semplicemente a causa della mancanza di patch e misure di protezione.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli