Jak reagować na luki w zabezpieczeniach Ivanti EPMM/MobileIron (CVE-2023-35078)

Istnieją trzy luki w zabezpieczeniach oprogramowania Ivanti Endpoint Manager Mobile (EPMM), wcześniej znanego jako MobileIron Core: CVE-2023-35078 i CVE-2023-35082, które umożliwiają uwierzytelnione obejście nieautoryzowanego dostępu; oraz CVE-2023-35081, który umożliwia przechodzenie przez katalog z eskalacją uprawnień i dowolnym zapisem plików. Te luki w zabezpieczeniach Ivanti EPMM zostały zaobserwowane w aktywnych cyberatakach na systemy korzystające z wersji, których dotyczy problem.

Cyberprzestępcy mogą wykorzystywać łańcuchy luk w zabezpieczeniach do łączenia ataków przez wszystkie trzy luki w zabezpieczeniach w celu uzyskania uprzywilejowanego dostępu do systemów EPMM. Dotyczy to następujących produktów Ivanti:

Ivanti Endpoint Manager Mobile 11.10
Ivanti Endpoint Manager Mobile 11.9
Ivanti Endpoint Manager Mobile 11.8
MobileIron Core w wersji 11.7 lub starszej

Ponadto Ivanti Sentry jest dotknięty luką CVE-2023-38035, która umożliwia obejście uwierzytelniania.

Z tego artykułu dowiesz się, w jaki sposób te luki w zabezpieczeniach wpływają na korzystanie z oprogramowania Ivanti EPMM lub MobileIron Core, a także jak zidentyfikować i ograniczyć potencjalne ryzyko.

Co to są CVE-2023-35078, CVE-2023-35081 i CVE-2023-35082?

Ivanti EPMM to narzędzie do zarządzania urządzeniami mobilnymi (MDM) często używane do ustawiania zasad IT dla usług mobilnych. Dzięki oprogramowaniu do zarządzania punktami końcowymi możesz używać jednego interfejsu do zarządzania urządzeniami i aplikacjami. Ponieważ MDM i inne narzędzia do zarządzania punktami końcowymi zapewniają dostęp do różnych urządzeń, uprawnienia powinny być ograniczone tylko do tych niezbędnych członków zespołu.

CVE-2023-35078 i CVE-2023-35082 to krytyczne luki zero-day, które umożliwiają wykorzystanie dostępu. Oba są lukami w zabezpieczeniach omijającymi uwierzytelnianie, w których nieautoryzowany zdalny aktor zagrożeń może uzyskać dostęp do systemu, poruszać się po różnych ścieżkach API, zbierać dane osobowe (PII) użytkowników i wprowadzać zmiany w konfiguracji serwera, takie jak wdrażanie powłok internetowych w celu naruszenia bezpieczeństwa serwerów, wypychania nowych pakietów do mobilnych punktów końcowych i tworzenia nowych kont administracyjnych.

CVE-2023-35081 to luka w zabezpieczeniach umożliwiająca przechodzenie przez ścieżkę, w której uwierzytelniony administrator może zapisywać nowe pliki na serwerze EPMM. Jeśli złośliwi atakujący połączą CVE-2023-35081 z którąkolwiek z luk w zabezpieczeniach omijania uwierzytelniania, oznacza to, że mają eskalację uprawnień do serwera WWW bez odpowiedniego uwierzytelniania i mogą wykonywać złośliwe działania z uprawnieniami administratora.

CVE-2023-38035 to luka w zabezpieczeniach umożliwiająca obejście uwierzytelniania, która wpływa na Ivanti/MobileIron Sentry w interfejsie administratora, ale nie ma wpływu na Ivanti EPMM. Zgodnie z artykułem bazy wiedzy, firma Ivanti poinformowała, że ta luka może być wykorzystywana po wykorzystaniu luk w zabezpieczeniach EPMM. Firma Ivanti udostępniła skrypt RPM, który można zastosować do produktu.

Obecny wpływ CVE Ivanti EPMM/MobileIron

Wszystkie trzy z tych luk w zabezpieczeniach mogą wyrządzić ogromne szkody w systemie. CVE-2023-35078 ma krytyczny wynik CVSS: 10,0 według CVE Numbering Authority (CNA) i 9,8 według National Vulnerability Database (NVD). CVE-2023-35082 nie został jeszcze oceniony, ale prawdopodobnie będzie miał podobny wynik do CVE-2023-35078. Podczas gdy CVE-2023-35081 jest nadal w trakcie analizy, CNA zapewniło wysoki wynik CVSS wynoszący 7,2.

Zarówno CVE-2023-35078, jak i CVE-2023-35081 są znanymi lukami w zabezpieczeniach (KEV), które zostały dodane do katalogu znanych luk w zabezpieczeniach CISA, a dla każdej z tych luk zaobserwowano aktywne wykorzystywanie systemu podatnego na ataki. Norweski Urząd Bezpieczeństwa Narodowego (NSM) potwierdził, że wiele norweskich agencji rządowych było celem ataków wykorzystujących obejście uwierzytelniania (CVE-2023-35078).

Twój system jest narażony na następujące luki, jeśli używasz jednej z tych wersji, których dotyczy problem:

Ivanti Endpoint Manager Mobile 11.10
Ivanti Endpoint Manager Mobile 11.9
Ivanti Endpoint Manager Mobile 11.8
MobileIron Core w wersji 11.7 lub starszej

Ciągłe monitorowanie zewnętrznej powierzchni ataku może pomóc w podjęciu proaktywnych działań przeciwko wszelkim potencjalnym znanym i nieznanym lukom w zabezpieczeniach, w tym CVE atakującym Ivanti EPMM i MobileIron Core. Nieinwazyjne skanowanie UpGuard wykrywa, kiedy produkty Ivanti, których dotyczy problem, są używane wśród zasobów internetowych, a użytkownik zostanie powiadomiony o szczegółowych wynikach dla każdego CVE.

Jeśli Ty lub inny dostawca korzystacie z oprogramowania Ivanti EPMM lub MobileIron Core, należy ustalić, czy zostało ono zaktualizowane do bezpiecznej wersji. Możesz wysłać żądanie naprawy w ramach UpGuard, co umożliwi właścicielowi technologii potwierdzenie bieżącej wersji produktu.

Jak ograniczyć luki w zabezpieczeniach Ivanti EPMM/MobileIron

Jeśli obecnie korzystasz z Ivanti Endpoint Manager Mobile w wersjach 11.10, 11.9 i 11.8, powinieneś natychmiast zaktualizować swoją wersję i zastosować skrypt RPM dostarczony przez Ivanti. Za pomocą portalu menedżera systemu można przeprowadzić uaktualnienie za pomocą wersji poprawek (11.10.0.3, 11.9.1.2 i 11.8.1.2).

Jeśli korzystasz z MobileIron Core 11.7 lub starszej, powinieneś natychmiast zaprzestać korzystania z niego i przeprowadzić migrację do Endpoint Manager Mobile, ponieważ Ivanti prawdopodobnie nie wyda poprawki zabezpieczeń dla MobileIron Core.

"MobileIron Core 11.2 nie jest obsługiwany od 15 marca 2022 r. W związku z tym firma Ivanti nie będzie wydawać skryptu RPM ani żadnych innych środków zaradczych w celu usunięcia tej luki w zabezpieczeniach w wersji 11.2 lub wcześniejszych. Uaktualnienie do najnowszej wersji Ivanti Endpoint Manager Mobile (EPMM) to najlepszy sposób ochrony środowiska przed zagrożeniami" - stwierdził Ivanti w wydaniu poprawki.

Jeśli Twoje systemy zostały dotknięte przez złośliwych aktorów, powinieneś współpracować z zespołem ds. zabezpieczeń nad planem natychmiastowego reagowania na incydenty, który obejmuje kwarantannę zaatakowanych systemów i przestrzeganie zalecanych praktyk bezpieczeństwa. Jeśli Twój system korzysta z którejkolwiek z wersji, których dotyczy problem, ale nie został wykorzystany przez aktorów zagrożeń, należy również postępować zgodnie z zaleceniami dotyczącymi środków zaradczych.

Uruchom skrypt RPM Ivanti z aktualizacją zabezpieczeń dla CVE-2023-35082

W swoim poradniku bezpieczeństwa Ivanti stwierdza, że ten skrypt został przetestowany na EPMM 11.7 i może być zainstalowany w wersjach 11.3 i nowszych. Upewnij się, że system został natychmiast przeniesiony z wersji, których dotyczy problem, i zmigrowany do obsługiwanej wersji, aby można było uruchomić skrypt.

Uzyskaj dostęp do serwera jako użytkownik administracyjny, aby móc uruchomić dwa skrypty RPM. RPM to menedżer pakietów typu open source. Pierwszy skrypt wyczyści starsze pliki do pobrania RPM:

Ten skrypt został początkowo wydany w celu złagodzenia skutków luki CVE-2023-35078.

Następnie zastosuj skrypt firmy Ivanti z aktualizacją zabezpieczeń dla CVE-2023-35082:

Po uruchomieniu aktualizacji zabezpieczeń postępuj zgodnie z poleceniami terminala, aby ponownie załadować system.

Uruchom skrypt RPM firmy Ivanti z aktualizacją zabezpieczeń dla luki CVE-2023-35078

Jeśli nie możesz przeprowadzić migracji do programu EPMM w wersji 11.8 lub nowszej, możesz uruchomić pierwszy skrypt RPM, aby złagodzić skutki luki CVE-2023-35078. Poradnik bezpieczeństwa Ivanti wskazuje, że ten skrypt nie będzie trwał po uaktualnieniu, dlatego zaleca się uaktualnienie do obsługiwanej wersji (11.8 lub nowszej), aby ta aktualizacja została zachowana.

Uruchom skrypt RPM przeznaczony dla CVE-2023-35078:

Po uruchomieniu aktualizacji zabezpieczeń postępuj zgodnie z poleceniami terminala, aby ponownie załadować system. Więcej informacji na temat skryptów można znaleźć w artykule bazy wiedzy Ivanti.

Jak zidentyfikować zaatakowane systemy

Jeśli system korzystał z wersji, której dotyczy problem, należy ocenić potencjalną aktywność zagrożeń i zweryfikować mechanizmy kontroli zabezpieczeń podczas wprowadzania niezbędnych aktualizacji.

Możesz użyć procesu opisanego w CISA Alert AA23-213A, aby ocenić swój system za pomocą dwóch szablonów jąder ukierunkowanych na CVE-2023-35078 i CVE-2023-35081.

Norweskie Narodowe Centrum Bezpieczeństwa Cybernetycznego (NCSC-NO), które opublikowało wspólny poradnik z CISA, przedstawiło szereg kontroli, które można przeprowadzić w celu oceny potencjalnego naruszenia bezpieczeństwa:

Wyszukaj [.rt-script]/mifs/aad/api/v2/[.rt-script] i [.rt-script]mifs/asfV3/api/v2/[.rt-script] w scentralizowanych dziennikach lub przekazanych dziennikach systemowych. Pierwszy ciąg identyfikuje docelowy punkt końcowy interfejsu API wynikający z luki CVE-2023-35078, a drugi ciąg identyfikuje docelowy punkt końcowy związany z CVE-2023-35082.
Przejrzyj aktywność w usłudze ActiveDirectory pod kątem wzrostów [.rt-script]EventCode=1644[.rt-script], a także [.rt-script]4662[.rt-script], [.rt-script]5136[.rt-script] i [.rt-script]1153[.rt-script].
Przejrzyj wszelki ruch z urządzeń EPMM do serwerów wewnętrznych oraz wszelki ruch TLS w kierunku serwerów EPMM z certyfikatami TLS niepowiązanymi z instancją EPMM.
Przejrzyj przechowywanie dysku i pamięci, a także nieprzydzielone miejsce na dysku, w przypadku usunięcia wpisów dziennika.
Oceń aktywność od routerów ASUS po urządzenia EPMM i Sentry.
Zapoznaj się z dokumentacją NCSC-NO dotyczącą skrótów i agentów użytkownika ze znanych działań zagrożeń, aby uzyskać wskaźniki naruszenia bezpieczeństwa własnego systemu.