Ivanti 零時差攻擊在全球激增! 尚未有修補程式

由於近期披露的Ivanti VPN兩個未修補的嚴重零日漏洞，在過去五天已在全球出現數千個 Ivanti VPN 攻擊事件。

Ivanti Connect Secure (ICS) VPN可將行動裝置與企業網路資源遠端連接，是具備網路惡意行為者初步侵入企業 IT 環境的吸引目標。

自從1 月 10 日 CVE-2023-46805、CVE-2024-21887這兩個新漏洞被揭露以來，ICS VPN 被攻擊者接管事件在全球迅速增加。IT管理者須注意的是，至少在接下來的幾天內不會有可用的修補程式。

研究人員警告，成功利用這兩個漏洞，可讓攻擊者成功進入目標網路，並可以不受限制存取。

這兩個 ICS VPN 漏洞各自的威力都很強大，但事實證明，它們聯合起來最有效。CVE-2023-46805（CVSS 評分為 8.2 的高嚴重性漏洞）可讓攻擊者繞過身分驗證檢查。然後，CVE-2024-21887（評分為 9.1 分）允許未經不公平身份驗證的用戶發送特製請求並在受害設備上運行任意命令。

研究人員認為UTA0178駭客組織利用了CVE-2023-46805、CVE-2024-21887作為零日漏洞，從去年12月就開始攻擊。憑藉如此提供的存取權限，它使用名為“GiftedVisitor”的 Web shell 為少數組織設置了後門進行偵察和資料收集。

UTA0178被認為是一個為中國政府服務的組織，目前了解到攻擊者確實全力攻擊受害者的案例數量相當有限。

研究人員在1 月 15 日對 30,000 台設備的掃描發現至少 1,700 個受感染的 VPN。

目前為止，受害者涉及面廣：從小型組織到財富 500 強公司，涉及軍隊和政府、電信和金融等領域。大多數感染集中在美國，但也遍布其他各大洲：德國、埃及、泰國、澳洲等。

目前還沒有針對這兩個漏洞的可用修補，Ivanti 預計在1 月 22 日修復 CVE-2023-46805，2 月 19 日修復 CVE-2024-21887。

在披露當天，Ivanti發布一項緩解措施，可以捕獲並根除潛在的利用漏洞的嘗試。

當然，這樣的預防措施並不能解決現有的數千個VPN受害問題。對於那些實際上尚未經過全面檢查的任何設備，Ivanti VPN 有內建的完整性檢查器工具，可以檢測 UTA0178 所實施的此類損害。

研究人員建議IT管理人員按照組織的事件回應手冊進行操作，並隔離設備。盡快獲取這些相關資訊文件並進行調查。

本文轉載自DarkReading。