Ivanti ha publicado actualizaciones de seguridad para solucionar múltiples fallos de seguridad que afectan a Connect Secure (ICS), Policy Secure (IPS) y Cloud Services Application (CSA) que podrían aprovecharse para lograr la ejecución arbitraria de código.

La lista de vulnerabilidades es la siguiente:

• CVE-2024-38657 (puntuación CVSS: 9,1) - El control externo de un nombre de archivo en Ivanti Connect Secure antes de la versión 22.7R2.4 e Ivanti Policy Secure antes de la versión 22.7R1.3 permite a un atacante remoto autenticado con privilegios de administrador escribir archivos arbitrarios.

• CVE-2025-22467 (puntuación CVSS: 9,9) - Un desbordamiento de búfer basado en pila en Ivanti Connect Secure antes de la versión 22.7R2.6 permite a un atacante remoto autenticado la ejecución remota de código.

• CVE-2024-10644 (puntuación CVSS: 9,1) - La inyección de código en Ivanti Connect Secure antes de la versión 22.7R2.4 e Ivanti Policy Secure antes de la versión 22.7R1.3 permite a un atacante remoto autenticado con privilegios de administrador ejecutar código de forma remota.

• CVE-2024-47908 (puntuación CVSS: 9,1) - La inyección de comandos del sistema operativo en la consola web de administración de Ivanti CSA antes de la versión 5.0.5 permite a un atacante remoto autenticado con privilegios de administrador ejecutar código de forma remota.

Las deficiencias se han subsanado en las siguientes versiones :

• Ivanti Connect Secure 22.7R2.6

• Ivanti Policy Secure 22.7R1.3

• Ivanti CSA 5.0.5

La compañía dijo que no tiene conocimiento de ninguno de los defectos que se explotan en la naturaleza. Sin embargo, dado que los dispositivos Ivanti están siendo utilizados repetidamente como armas por actores maliciosos, es imperativo que los usuarios tomen medidas para aplicar los últimos parches.

JPCERT/CC, en un informe publicado hoy, ha revelado que ha observado que CVE-2025-0282 -una vulnerabilidad ya parcheada que afecta a Ivanti Connect Secure- está siendo explotada para distribuir una versión actualizada del marco de malware SPAWN denominada SPAWNCHIMERA.

"SPAWNCHIMERA es un malware que combina las funciones actualizadas de SPAWNANT, SPAWNMOLE y SPAWNSNAIL en una sola", explicó el investigador de seguridad Yuma Masubuchi, quien añadió que las modificaciones incluyen cambios en la comunicación entre procesos para utilizar sockets de dominio UNIX y una función para tapar el defecto de seguridad en un intento de evitar que otros actores lo exploten.

Ivanti también reconoció que sus productos de borde han sido "blanco y explotados por sofisticados ataques de actores de amenazas" y que se está esforzando por mejorar su software, aplicar principios de seguridad por diseño y elevar el listón ante posibles abusos por parte de adversarios.

"Aunque estos productos no son el objetivo final, son cada vez más la ruta en la que grupos de naciones con recursos centran sus esfuerzos para intentar campañas de espionaje contra organizaciones de gran valor", declaró Daniel Spicer, CSO de Ivanti.

"Hemos mejorado el escaneo interno, la explotación manual y las capacidades de prueba, aumentado la colaboración y el intercambio de información con el ecosistema de seguridad, y mejorado aún más nuestro proceso de divulgación responsable, incluyendo convertirnos en una Autoridad de Numeración CVE."

La noticia llega cuando Bishop Fox ha publicado todos los detalles técnicos de un fallo de seguridad ya parcheado en SonicWall SonicOS (CVE-2024-53704) que podría aprovecharse para eludir la autenticación en firewall y permitir a los atacantes secuestrar sesiones SSL VPN activas para obtener acceso no autorizado.

A fecha de 7 de febrero de 2025, casi 4.500 servidores SonicWall SSL VPN orientados a Internet seguían sin parches contra CVE-2024-53704.

En un movimiento similar, Akamai ha publicado su descubrimiento de dos vulnerabilidades en Fortinet FortiOS (CVE-2024-46666 y CVE-2024-46668) que un atacante no autenticado puede explotar para lograr la denegación de servicio (DoS) y la ejecución remota de código. Los fallos fueron resueltos por Fortinet el 14 de enero de 2025.

Desde entonces, Fortinet también ha revisado su aviso sobre CVE-2024-55591 para destacar otro fallo identificado como CVE-2025-24472 (puntuación CVSS: 8,1) que podría dar lugar a un bypass de autenticación en dispositivos FortiOS y FortiProxy a través de una solicitud de proxy CSF especialmente diseñada.

La empresa atribuyó el descubrimiento y la notificación del fallo a Sonny Macdonald, investigador de watchTowr Labs. Vale la pena señalar que la vulnerabilidad ya ha sido parcheada junto con CVE-2024-55591, lo que significa que no se requiere ninguna acción del cliente si las correcciones para este último ya se han aplicado.

Fuente: thehackernews