Softwarebedrijf Ivanti waarschuwt organisaties voor actief aangevallen zerodaylekken in Ivanti Connect Secure en Ivanti Policy Secure Gateways waardoor een ongeauthenticeerde aanvaller commando's op het vpn-systeem kan uitvoeren. Updates zijn nog niet beschikbaar, wel een workaround om systemen te beschermen. Ivanti Connect Secure is een vpn-oplossing waarmee gebruikers toegang tot het netwerk van hun organisatie kunnen krijgen.

De twee kwetsbaarheden (CVE-2023-46805 en CVE-2024-21887) betreffen een authenticatie bypass en command injection kwetsbaarheid. De impact van de beveiligingslekken is op een schaal van 1 tot en met 10 beoordeeld met respectievelijk een 8.2 en 9.1. Ivanti werd ingelicht door securitybedrijf Volexity, dat aanwijzingen van de zerodaylekken in de tweede week van december ontdekte.

Via de zeroday-aanval werden er webshells op het vpn-systeem geïnstalleerd, waarmee er toegang tot het gecompromitteerde systeem wordt behouden en verdere aanvallen mogelijk zijn. Daarnaast bleek dat de aanvallers logbestanden op het systeem hadden verwijderd en logging hadden uitgeschakeld. Verder onderzoek wees uit dat het systeem al sinds 3 december was gecompromitteerd.

De aanvallers hadden configuratiegegevens gestolen, bestaande bestanden aangepast, remote bestanden gedownload en een reverse tunnel vanaf het vpn-systeem opgezet. Door het aanpassen van legitieme onderdelen van het vpn-systeem en systeemaanpassingen door te voeren konden de aanvallers de Ivanti Connect Secure Integrity Checker omzeilen. Tevens wijzigde de aanvaller een JavaScript-bestand gebruikt door het web-onderdeel van de vpn, om zo inloggegevens van gebruikers die inlogden op te slaan en te stelen.

Via de verzamelde gegevens kon er vervolgens toegang tot interne systemen worden verkregen, wat uiteindelijke leidde tot volledige toegang tot de systemen op het netwerk. Ook ontdekten de onderzoekers dat de aanvallers inloggegevens uit een installatie van de Veeam back-up-software die de organisatie gebruikte hadden gestolen. Volgens Volexity is de aanval het werk van een vanuit China opererende groep die het de naam UTA0178 heeft gegeven. De eerste updates verwacht Ivanti in de week van 22 januari uit te brengen.

Tegen welke organisatie of organisaties de zerodays zijn ingezet is niet bekendgemaakt. Vorig jaar werd de Noorse overheid nog aangevallen via een zerodaylek in Ivanti Endpoint Manager Mobile.