Ivanti Endpoint Manager'da kritik bir uzaktan kod yürütme (RCE) güvenlik açığı olan CVE-2024-29847 için bir kavram kanıtı (POC) istismarı artık kamuya açıklanıyor ve cihazların güncellenmesini çok önemli hale getiriyor.
Kusur, 2022 SU6 ve EPM 2024'ten önce Ivanti uç nokta yöneticisini etkileyen güvenilmeyen veri sorununun, 10 Eylül 2024'teki 2024 Eylül güncellemesinin bir parçası olarak sabitlenmesidir.
Güvenlik açığı, 1 Mayıs 2024'te Sıfır Gün Girişimi (ZDI) aracılığıyla bildiren güvenlik araştırmacısı Sina Kheirkhah (@sinsinology) tarafından keşfedildi.
Aynı araştırmacı şimdi CVE-2024-29847'nin nasıl kullanılabileceği hakkında tüm ayrıntıları yayınladı, bu da vahşi doğada saldırıları artıracak.
Kusurun temel nedeni, AgentPortal.exe yürütülebilir dosyasındaki güvensiz sealizasyonda yatmaktadır, özellikle, uzak nesneler arasındaki iletişimi kolaylaştırmak için kullanımdan kaldırılmış Microsoft .NET Remoting Framework'ü kullanan Hizmetin OnStart yöntemidir.
Hizmet, dinamik olarak atanan bağlantı noktaları ve güvenlik uygulaması olmayan bir TCP kanalı kaydeder, bu da uzak bir saldırganın kötü niyetli nesneler enjekte etmesini mümkün kılar.
Kheirkhah'ın saldırı akışı, seansiyizasyon üzerine dizinfo veya fileInfo nesnelerinde yöntemleri çağırarak keyfi işlemleri yürüten savunmasız uç noktaya göndermek için serileştirilmiş nesneler içeren bir Hashtable'ın hazırlanmasını içerir.
Bunlar, saldırganın, keyfi kod yürütebilen web kabukları da dahil olmak üzere sunucuda dosya okuma veya yazma gibi dosya işlemlerini gerçekleştirmesini sağlar.
Yazımda, düşük tip bir filtrenin hangi nesnelerin sazipleştirilebileceğini kısıtladığı belirtilmiştir. Ancak, James Forshaw tarafından tarif edilen bir teknik kullanarak güvenlik mekanizmasını atlamak mümkündür.
Ivanti, EPM 2022 ve 2024 için SU6 ve Eylül 2024 güncellemeleri ile bir güvenlik 'sıcak yaması' yaptı.
Satıcı başka bir azaltma veya geçici çözüm sunmaz, bu nedenle bültendeki güvenlik güncellemesinin uygulanması tek öneridir.
Ocak ayında CISA, Ivanti'nin uç nokta yöneticisi mobil ürünündeki kritik bir kimlik doğrulama baypas güvenlik açığının saldırılarda aktif olarak kullanıldığı konusunda uyardı.
Geçen hafta Ivanti, bilgisayar korsanlarının Bulut Hizmetleri cihazında (CSA) CVE-2024-8190 olarak izlenen yüksek şiddetli bir uzaktan kumanda yürütme kusurunu aktif olarak kullandığını doğruladı.
CISA ayrıca, 4 Ekim 2024'e kadar savunmasız cihazları güvence altına almak için son tarihi ayarlayarak bilinen sömürülen güvenlik açıkları kataloğuna kusur ekledi.
Kritik İlerleme Whatup RCE Kusur şimdi aktif sömürü altında
Ağustos ayından bu yana halka açık istismar ile whatsup altın hedefliyor
Ivanti, uç nokta yönetimi yazılımındaki maksimum şiddet RCE hatasını düzeltir
Ivanti, kamu istismarıyla kritik vtm auth bypass'ı uyarıyor
Ivanti, yüksek şiddetli CSA kusurunun artık saldırılarda sömürüldüğünü uyardı
Kaynak: Bleeping Computer