Exploitations de vulnérabilités dans Ivanti Cloud Services Appliance (CSA)
ANSSI — Licence Ouverte / Etalab 2.0. Publication d'origine, 31 mars 2025.
L'essentiel
- Des traces d’exploitation sont identifiables dans les journaux /var/log/messages-<date>.tar.gz ou dans des journaux de reverse-proxy en privilégiant la période du 4 au 15 septembre 2024:
Phrases relevées telles quelles dans le texte officiel reproduit ci-dessous (ANSSI, Licence Ouverte / Etalab 2.0).
Texte officiel intégral
Ci-dessous, le corps complet de la publication de ANSSI, reproduit sans modification. La Licence Ouverte / Etalab 2.0 en autorise expressément la reproduction, à la seule condition d'en mentionner la paternité.
Une chaine d’exploitation complète est connue pour les produits Ivanti Cloud Services Appliance de versions antérieures à 5.0, notamment les versions 4.6 n’ayant pas appliqué le correctif 519. Les vulnérabilités CVE-2024-8190, CVE-2024-8963 et CVE-2024-9380 ont été exploitées avant la publication de ce correctif. Le CERT-FR n’a pas connaissance d’une chaine d’exploitation impactant les versions 5.0.x.
Résumé
Ivanti a publié plusieurs avis de sécurité sur des vulnérabilités affectant CSA qui sont activement exploitées :
- le 10 septembre 2024, Ivanti a publié un avis de sécurité concernant la vulnérabilité CVE-2024-8190 qui permet à un attaquant, authentifié en tant qu'administrateur, d'exécuter du code arbitraire à distance sur un équipement CSA ;
- le 13 septembre 2024, l'éditeur a ajouté que cette vulnérabilité était activement exploitée dans le cadre d'attaques ciblées ;
- le 16 septembre 2024, le CERT-FR a eu connaissance de codes d'exploitation publics pour la vulnérabilité CVE-2024-8190 ;
- le 19 septembre 2024, Ivanti a publié un nouvel avis de sécurité affectant CSA. La vulnérabilité CVE-2024-8963 permet à un attaquant non authentifié de contourner l'authentification et d'obtenir les droits administrateur ;
- le 8 octobre 2024, Ivanti a publié un nouvel avis de sécurité affectant les CSA versions 5.0.1 et antérieures. Les vulnérabilités CVE-2024-9379 et CVE-2024-9380, combinées à la vulnérabilité CVE-2024-8963 présente sur les CSA versions 4.6 antérieures au correctif 519, permettent d’exécuter du code arbitraire à distance ;
- le 11 octobre 2024 l'éditeur Fortinet a publié un billet de blogue [1] détaillant les exploitations constatées lors d'une opération de réponse à incidents.
L'éditeur a précisé que les vulnérabilités CVE-2024-8190 et CVE-2024-8963 étaient activement exploitées et a connaissance d’un nombre limité d’exploitations des vulnérabilités CVE-2024-9379 et CVE-2024-9380, combinées à la vulnérabilité CVE-2024-8963 sur les CSA en versions antérieures à 5.0 uniquement.
Le CERT-FR a connaissance de plusieurs compromissions dans lesquelles ces vulnérabilités ont été exploitées.
Recherche de compromission
Des traces d’exploitation sont identifiables dans les journaux /var/log/messages-<date>.tar.gz ou dans des journaux de reverse-proxy en privilégiant la période du 4 au 15 septembre 2024 :
- requête HTTP GET vers l'URL /client/index.php%3F.php/gsb/users.php (CVE-2024-8963). Les attaquants peuvent utiliser des moyens d’obscurcissement pour contourner ce motif de détection ;
- présence de PGPASSWORD pouvant indiquer une manipulation de la base de donnée contenant les informations de connexion ;
- présence d'une requête contenant tripwire --update ; indiquant une injection de commandes au travers de la page reports.php.
Dans /var/log/messages* et /var/log/secure*, des traces d’exécutions de commandes malveillantes peuvent être identifiées :
L'attaquant peut également utiliser des webshells situées dans le dossier /opt/landesk contenant uniquement l’une des deux lignes suivantes :
Il existe également des combinaisons de ces deux lignes (sans le ?> final, avec ou sans guillemet autour de la variable, etc.). Les dates de dernière modification et de création de ces fichiers peuvent avoir été manipulées.
De plus, des indicateurs de compromission peuvent parfois être observés à la fin du fichier /etc/php.ini :
Le CERT-FR recommande par ailleurs de chercher les indicateurs de compromission présentés dans l'article de Fortinet [1].
L'URL permettant d'exploiter la vulnérabilité CVE-2024-8963 a été massivement requêtée. Sa seule présence dans les journaux d'activité n'est donc pas nécessairement révélatrice d'une action malveillante. Il est néanmoins nécessaire de suivre les étapes 4 à 6 présentes dans la section Solution.
Solution
La version 5.0.2 de CSA corrige l'ensemble des vulnérabilités présentées. La version 4.6 n'est plus supportée par l'éditeur et ce dernier recommande de mettre à jour vers la version 5.0.2. L’éditeur recommande l’utilisation de deux interfaces réseau, en utilisant eth0 uniquement pour le réseau interne.
Si vous êtes en présence d'un CSA qui était en version 4.6 et accessible depuis Internet en septembre ou octobre 2024, il est impératif d’effectuer une recherche de traces d’exploitation de vulnérabilité sur l’équipement ou la machine virtuelle, ainsi que de tentatives de latéralisation.
- isoler les équipements compromis du réseau et réaliser un gel de données (instantané pour les machines virtuelles, isolement de l’équipement s’il s’agit d’un équipement physique) à des fins d’investigations approfondies ;
- signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier ;
- reconstruire la solution CSA en version 5.0.2 et son système d’exploitation sur lequel il repose à partir de source éditeur. L'attaquant peut déposer un implant qui ne sera pas supprimé avec la simple réinstallation de l'application ;
- réinitialiser tous les secrets de façon générale (mot de passe, certificat, etc.) configurés sur les équipements affectés ;
- réinitialiser tous les secrets d’authentification susceptibles d’avoir transités sur les équipements affectés (si applicable) ;
- rechercher toutes traces de latéralisation sur le reste du système d’information, notamment : en cherchant les connexions ou tentatives de connexion vers Internet depuis l'équipement compromis ;
- puis en cherchant ces adresses IP de destination pour vérifier si d’autres machines ont tenté une connexion ;
- en analysant les journaux des EDR ou les journaux Windows pour identifier des connexions depuis l'équipement compromis.
- identifier les comptes du domaine Active Directory qui seraient configurés sur l'équipement suspecté puis : vérifier l'activité réalisée à partir de ce compte ;
- réinitialiser les secrets associés à ces comptes afin d'éviter que l'attaquant ne puisse réutiliser ailleurs les identifiants éventuellement obtenus sur l'équipement.
Le CERT-FR vous recontactera si nécessaire pour le traitement de l’incident ou vous communiquera des éléments supplémentaires. En cas de suspicion de compromission, il est recommandé de consulter les bons réflexes en cas d'intrusion sur votre système d'information [2], ainsi que les fiches réflexe sur la compromission système [3] [4].
Fin du texte officiel repris
Source :ANSSI, publié le — Licence Ouverte / Etalab 2.0.
Consulter la publication d'originehttps://www.cert.ssi.gouv.fr/alerte/CERTFR-2024-ALE-013/
Texte reproduit dans son intégralité. La mention de la source et de sa date de dernière mise à jour est la seule condition posée par la Licence Ouverte / Etalab 2.0 ; elle ne confère aucun caractère officiel à cette reprise et ne vaut ni reconnaissance ni caution de fildactu.fr par l'émetteur.
Sources
Sujets liés
Comment ce sujet a-t-il été constitué ?
Les publications des sources suivies sur la rubrique Tech sont dédoublonnées par empreinte de titre sur une fenêtre de 72 heures, puis regroupées lorsqu'elles couvrent le même événement. Le compteur indique combien d'émetteurs distincts l'ont traité.
Le texte encadré plus haut est le corps de la publication de ANSSI, repris dans son intégralité et sans modification. La Licence Ouverte / Etalab 2.0 sous laquelle cet organisme diffuse ses informations concède « un droit non exclusif et gratuit de libre réutilisation », dont celui « de la communiquer, la reproduire, la copier » et « de l'exploiter à titre commercial », sous la seule réserve d'en « mentionner la paternité » — la source et la date de dernière mise à jour, portées en tête et en pied du texte, avec le lien vers l'original. La mise en page — chapô détaché, intertitres, sommaire — est de fildactu.fr ; les mots sont ceux de l'émetteur, et pas un n'a été ajouté, retiré ni reformulé. Pour la presse et pour toute source sans autorisation vérifiée, fildactu.fr ne conserve que le titre tel que publié, le nom de l'éditeur, le lien d'origine et la date.