CVE-2024-21894: продукты Ivanti вновь тонут в RCE- и DoS-атаках

Более 16 500 доступных из Интернета шлюзов Connect Secure и Policy Secure компании Ivanti подвергаются риску из-за высокоуровневой уязвимости, позволяющей осуществлять удалённое выполнение кода (RCE) и атаки типа «отказ в обслуживании» (DoS).

Уязвимость, получившая идентификатор CVE-2024-21894, обнаружена в компоненте IPSec систем Ivanti Connect Secure версий 9.x и 22.x. Этот недостаток может привести к вышеописанным атакам за счёт отправки специально сформированных запросов неаутентифицированными пользователями.

Инцидент был раскрыт 3 апреля 2024 года, после чего поисковая система Shodan зарегистрировала 29 000 устройств в сети, а служба мониторинга угроз Shadowserver сообщила о примерно 18 000 потенциально уязвимых экземпляров.

Компания Ivanti настоятельно рекомендовала администраторам систем как можно скорее применить обновления, несмотря на отсутствие признаков активного использования уязвимости среди клиентов на тот момент.

Последующие проверки Shadowserver показали, что около 16 500 устройств действительно уязвимы. Большая часть из них расположена в США (4700), за ними следуют Япония (2000), Великобритания (1000), Германия (900), Франция (900), и другие страны.

Уязвимости в продуктах Ivanti часто становятся точкой входа для организаций по всему миру. Ранее в этом году стало известно о том, что государственные хакеры использовали несколько уязвимостей в продуктах Ivanti для внедрения вредоносного ПО, прежде чем производитель узнал о существовании проблем.

Отчёт Mandiant, опубликованный вскоре после выявления уязвимости, подробно рассматривает случаи злонамеренной эксплуатации, сфокусированных на атаках китайских хакеров, использующих семейство вредоносных программ SPAWN.

Администраторам систем, которые ещё не применили доступные средства защиты и исправления для CVE-2024-21894, настоятельно рекомендуется следовать инструкциям производителя.