CISA advierte de que una vulnerabilidad crítica de elusión de autenticación en el software de gestión de dispositivos Endpoint Manager Mobile (EPMM) y MobileIron Core de Ivanti (parcheado en agosto de 2023) se encuentra ahora bajo explotación activa.
Localizado como CVE-2023-35082, el fallo es una vulnerabilidad de acceso remoto no autenticado a la API que afecta a todas las versiones de EPMM 11.10, 11.9 y 11.8 y MobileIron Core 11.7 e inferiores.
Una explotación exitosa proporciona a los atacantes acceso a información personal identificable (PII) de los usuarios de dispositivos móviles y puede permitirles acceder a servidores comprometidos al encadenar el fallo con otros.
"Ivanti ya dispone de un script RPM. Recomendamos a los clientes que primero actualicen a una versión soportada y luego apliquen el script RPM", dijo la compañía en agosto. "Se puede encontrar información más detallada en este artículo de la Base de Conocimientos en el portal de la Comunidad Ivanti".
La empresa de ciberseguridad Rapid7, que descubrió y notificó la vulnerabilidad, proporciona indicadores de compromiso (IOC) para ayudar a los administradores a detectar señales de un ataque CVE-2023-35082.
Según Shodan, 6.300 portales de usuario de Ivanti EPMM están actualmente expuestos en línea, mientras que la plataforma de monitorización de amenazas Shadowserver rastrea 3.420 dispositivos EPMM expuestos en Internet.
Los datos de Shodan también revelan que se puede acceder directamente a través de Internet a las más de 150 instancias vinculadas a organismos gubernamentales de todo el mundo.
Portales de usuario Ivanti EPMM expuestos en Internet (Shodan)
Aunque todavía no ha proporcionado más detalles sobre la explotación activa de CVE-2023-35082, CISA añadió la vulnerabilidad a su Catálogo de Vulnerabilidades Explotadas Conocidas basándose en pruebas de explotación activa y afirma que no hay pruebas de abuso en ataques de ransomware.
La agencia de ciberseguridad también ordenó a las agencias federales estadounidenses realizar el parche de seguridad antes del 2 de febrero, tal y como exige una directiva operativa vinculante (BOD 22-01) emitida hace tres años.
Ivanti aún no ha actualizado sus avisos de agosto ni ha emitido otra notificación advirtiendo de que los atacantes están utilizando esta vulnerabilidad de seguridad.
Otros dos zero-days de Ivanti Connect Secure (ICS), un desvío de autenticación (CVE-2023-46805) y una inyección de comandos (CVE-2024-21887) también están siendo explotados masivamente por múltiples grupos de amenazas, a partir del 11 de enero.
Las víctimas comprometidas hasta ahora van desde pequeñas empresas hasta múltiples compañías de Fortune 500 de diversos sectores industriales, y los atacantes ya han atacado más de 1.700 dispositivos ICS VPN utilizando una variante webshell de GIFTEDVISITOR.
Muchos otros zero-days de Ivanti (CVE-2021-22893, CVE-2023-35078, CVE-2023-35081, CVE-2023-38035) han sido explotados en los últimos años para vulnerar docenas de organizaciones gubernamentales, de defensa y financieras en Estados Unidos y Europa, varias organizaciones gubernamentales noruegas, así como en ataques dirigidos.
Fuente: bleepingcomputer