Trois failles zero-day d'Ivanti Connect Secure permettent une exécution de commandes root sans authentification.

Un attaquant a enchaîné trois failles zero-day dans Ivanti Connect Secure. Cette appliance VPN a ainsi servi à exécuter des commandes avec les droits root, sans aucune authentification. C’est ce qu’a indiqué la société de sécurité Volexity le 13 octobre. Deux des trois vulnérabilités sont désormais corrigées. La troisième attend toujours son correctif.

Ivanti Connect Secure : une chaîne de trois failles zero-day

Le scénario décrit par Volexity repose sur un enchaînement. Une faille isolée ne suffit pas toujours à prendre le contrôle d’un équipement. En combinant trois vulnérabilités, l’attaquant franchit les protections étape par étape. Au bout de la chaîne, il obtient des privilèges maximaux.

Le résultat est particulièrement préoccupant. L’attaque ne demande pas d’identifiants valides. Elle ne nécessite pas non plus d’action de la part d’un utilisateur. Autrement dit, tout équipement exposé et vulnérable peut devenir une cible.

Par ailleurs, il s’agit de failles zero-day. Elles étaient donc exploitées avant l’existence de correctifs. Les défenseurs n’avaient alors aucun moyen simple de se protéger.

Volexity a de son côté signalé les vulnérabilités à Ivanti. L’éditeur a ensuite préparé des correctifs. En revanche, le travail n’est pas terminé, car l’un des défauts reste ouvert.

Ce que l’on sait des correctifs

Ivanti a publié des mises à jour pour deux des trois failles. L’éditeur demande aux clients concernés d’« agir immédiatement ». Ce message est clair. Les administrateurs ne doivent pas attendre la prochaine fenêtre de maintenance habituelle.

Toutefois, la situation reste incomplète. Selon Volexity, le correctif de la troisième faille n’est pas encore disponible. Les organisations ne peuvent donc pas fermer toute la chaîne d’attaque pour l’instant.

Dans les informations communiquées, les identifiants CVE et les numéros de version précis ne sont pas détaillés. Il est donc essentiel de consulter directement l’avis de sécurité d’Ivanti. Les équipes pourront ainsi vérifier si leurs versions sont touchées. Elles sauront aussi quelle mise à jour installer.

Ensuite, il faudra suivre l’évolution de l’avis. Dès que le troisième correctif sortira, il devra être déployé sans délai. Entre-temps, des mesures d’atténuation peuvent réduire le risque.

Pourquoi un accès root change tout

Un accès root sur une appliance VPN est un scénario critique. Ces équipements se trouvent en bordure de réseau. Ils sont accessibles depuis Internet. En outre, ils traitent des données sensibles, comme les sessions et les identifiants des utilisateurs.

Avec les droits root, un attaquant peut modifier le système à sa guise. Il peut, par exemple, installer une porte dérobée persistante. Il peut aussi intercepter le trafic ou chercher à se déplacer vers le réseau interne. Par conséquent, la compromission d’un seul équipement peut ouvrir la voie à une intrusion plus large.

De plus, ces appliances sont souvent difficiles à surveiller. Elles disposent de peu d’outils de détection classiques. Les traces d’une attaque peuvent donc passer inaperçues pendant longtemps. C’est pourquoi les passerelles VPN restent des cibles privilégiées.

Recommandations pour les utilisateurs d’Ivanti Connect Secure

Les mesures suivantes sont des bonnes pratiques générales. Elles complètent les consignes de l’éditeur et ne les remplacent pas.

• Appliquer sans attendre les correctifs déjà publiés pour les deux failles corrigées.
• Suivre l’avis d’Ivanti afin d’installer le troisième correctif dès sa sortie.
• Limiter l’exposition des interfaces d’administration, par exemple en les restreignant à des adresses de confiance.
• Examiner les journaux à la recherche d’activités inhabituelles, notamment des commandes inattendues ou des connexions suspectes.
• Vérifier l’intégrité de l’appliance avec les outils proposés par l’éditeur, lorsqu’ils existent.
• Prévoir une réponse à incident : en cas de doute, renouveler les identifiants, les secrets et les sessions liés à l’équipement.

Ce qu’il faut retenir

• Trois zero-days d’Ivanti Connect Secure ont été enchaînés pour obtenir un accès root sans authentification.
• Volexity a révélé l’attaque le 13 octobre et a signalé les failles à Ivanti.
• Deux failles sont corrigées, mais la troisième attend encore un correctif.
• Ivanti demande aux clients concernés d’agir immédiatement.

En résumé, la priorité est double. D’abord, installer les mises à jour disponibles. Ensuite, renforcer la surveillance en attendant le dernier correctif.

Source : Attacker Chains Three Ivanti Connect Secure Zero-Days for Root Access, Only Two Patched So Far