Ivanti ha advertido de que tres nuevas vulnerabilidades de seguridad que afectan a su Cloud Service Appliance (CSA) han sido objeto de explotación activa en la naturaleza.
Según el proveedor de servicios de software con sede en Utah, los fallos zero-days se están aprovechando junto con otro fallo de CSA que la empresa parcheó el mes pasado.
La explotación exitosa de estas vulnerabilidades podría permitir a un atacante autenticado con privilegios de administrador saltarse las restricciones, ejecutar sentencias SQL arbitrarias u obtener la ejecución remota de código.
"Tenemos conocimiento de un número limitado de clientes que ejecutan CSA 4.6 parche 518 y anteriores que han sido explotados cuando CVE-2024-9379, CVE-2024-9380, o CVE-2024-9381 se encadenan con CVE-2024-8963", dijo la compañía.
No hay pruebas de explotación contra entornos de clientes que ejecuten CSA 5.0. Una breve descripción de las tres deficiencias es la siguiente:
- CVE-2024-9379 (CVSS score: 6.5): Una inyección SQL en la consola web de administración de Ivanti CSA antes de la versión 5.0.2 permite a un atacante remoto autenticado con privilegios de administrador ejecutar sentencias SQL arbitrarias.
- CVE-2024-9380 (puntuación CVSS: 7.2): Una vulnerabilidad de inyección de comandos del sistema operativo (SO) en la consola web de administración de Ivanti CSA antes de la versión 5.0.2 permite a un atacante remoto autenticado con privilegios de administrador obtener la ejecución remota de código.
- CVE-2024-9381 (puntuación CVSS: 7.2) : Un path traversal en Ivanti CSA antes de la versión 5.0.2 permite a un atacante remoto autenticado con privilegios de administrador saltarse las restricciones.
Los ataques observados por Ivanti consisten en combinar los fallos mencionados con CVE-2024-8963 (puntuación CVSS: 9,4), una vulnerabilidad crítica que permite a un atacante remoto no autenticado acceder a funciones restringidas.
Ivanti señaló que descubrió los tres nuevos fallos como parte de su investigación sobre la explotación de CVE-2024-8963 y CVE-2024-8190 (puntuación CVSS: 7,2), otro fallo de inyección de comandos del sistema operativo ya parcheado en CSA que también ha sido objeto de abusos.
Además de actualizar a la última versión (5.0.2), la empresa recomienda a los usuarios que revisen el dispositivo en busca de usuarios administrativos modificados o añadidos recientemente para buscar signos de compromiso, o que comprueben las alertas de las herramientas de detección y respuesta de puntos finales (EDR) instaladas en el dispositivo.
El desarrollo se produce menos de una semana después de que la Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE.UU. (CISA) añadiera el miércoles un fallo de seguridad que afectaba a Ivanti Endpoint Manager (EPM) y que fue corregido en mayo (CVE-2024-29824, puntuación CVSS: 9,6) al catálogo de Vulnerabilidades Explotadas Conocidas (KEV).
Fuente: thehackernews