Una nueva vulnerabilidad de zero-day que afecta a un producto del proveedor de software empresarial estadounidense Ivanti ha sido explotada en un ataque dirigido al gobierno noruego.
La Autoridad de Seguridad Nacional de Noruega (NSM) ha confirmado que los atacantes utilizaron una vulnerabilidad de día cero en la solución Endpoint Manager Mobile (EPMM) de Ivanti para vulnerar una plataforma de software utilizada por 12 ministerios del país.
La Organización Noruega de Seguridad y Servicios (DSS) dijo el lunes que el ciberataque no afectó a la Oficina del Primer Ministro de Noruega, el Ministerio de Defensa, el Ministerio de Justicia y el Ministerio de Asuntos Exteriores.
También se notificó el incidente a la Autoridad Noruega de Protección de Datos (DPA), lo que indica que los piratas informáticos podrían haber accedido a datos sensibles de los sistemas comprometidos o haberlos extraído, lo que habría dado lugar a una violación de datos.
"Esta vulnerabilidad era única y se descubrió por primera vez en Noruega. Si hubiéramos divulgado la información sobre la vulnerabilidad demasiado pronto, podría haber contribuido a que se hiciera un uso indebido de ella en otros lugares de Noruega y del resto del mundo", afirma el NSM.
"La actualización ya está disponible de forma general y es prudente anunciar de qué tipo de vulnerabilidad se trata", afirma Sofie Nystrøm, directora de la Agencia Nacional de Seguridad.
El Centro Nacional Noruego de Ciberseguridad (NCSC) también notificó a todos los clientes conocidos de MobileIron Core en Noruega la existencia de una actualización de seguridad para solucionar este fallo de zero-day activamente explotado (rastreado como CVE-2023-35078).
Como recomendación, el NCSC instó a los propietarios de estos sistemas a instalar las actualizaciones de seguridad para bloquear los ataques entrantes lo antes posible.
Vulnerabilidad de elusión de autenticación explotada activamente
El fallo de seguridad CVE-2023-35078 es una vulnerabilidad de omisión de autenticación que afecta a todas las versiones compatibles del software de gestión de dispositivos móviles Endpoint Manager Mobile (EPMM) de Ivanti (anteriormente MobileIron Core), así como a las versiones no compatibles y al final de su vida útil.
Una explotación exitosa permite a los actores de amenazas remotas acceder a rutas API específicas sin requerir autenticación.
"Un atacante con acceso a estas rutas API puede acceder a información de identificación personal (PII), como nombres, números de teléfono y otros detalles de dispositivos móviles de los usuarios de un sistema vulnerable", advirtió la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) en un aviso publicado el lunes.
"Un atacante también puede hacer otros cambios de configuración, incluyendo la creación de una cuenta administrativa EPMM que puede hacer más cambios en un sistema vulnerable."
La empresa ha confirmado que el zero-day se está explotando en ataques y también ha advertido a los clientes de que es fundamental "tomar medidas inmediatamente para asegurarse de que están totalmente protegidos".
Según la plataforma de exploración de la exposición en Internet de Shodan, más de 2.900 portales de usuarios de MobileIron están actualmente expuestos en línea, de los cuales alrededor de tres docenas están vinculados con agencias gubernamentales locales y estatales de Estados Unidos.
Portales de usuario Ivanti EPMM (MobileIron) expuestos (Fuente: Shodan)
La mayoría de estos servidores expuestos se encuentran en los Estados Unidos, con otras ubicaciones notables incluyendo Alemania, el Reino Unido y Hong Kong.
En vista de ello, es crucial que todos los administradores de red instalen rápidamente los últimos parches de Ivanti Endpoint Manager Mobile (MobileIron) para proteger sus sistemas de los ataques.
Noruega ha revelado otros ciberataques en los que hackers estatales chinos y rusos tuvieron como objetivo sus sitios web gubernamentales y el parlamento del país.
El año pasado, en junio, el NSM dijo que hacktivistas rusos derribaron múltiples sitios web del gobierno noruego en ataques DDoS.
En marzo de 2021, el grupo de piratas informáticos Hafnium, patrocinado por el Estado chino, fue vinculado a otro incidente en el que penetraron en los sistemas del Parlamento noruego y robaron datos aprovechando vulnerabilidades de ProxyLogon Microsoft Exchange.
En otro ataque de agosto de 2020, se forzaron múltiples cuentas de correo electrónico del Parlamento noruego. Este incidente fue vinculado por el Ministro de Asuntos Exteriores de Noruega en diciembre de 2020 al grupo de hacking ruso APT 28 patrocinado por el Estado.
Fuente: bleepingcomputer