Cảnh báo lỗ hổng nghiêm trọng CVE-2024-37404 trong Ivanti Connect Secure & Policy Secure

Lỗ hổng bảo mật CVE-2024-37404 đã được phát hiện trong các sản phẩm Ivanti Connect Secure và Policy Secure, cho phép kẻ tấn công đã xác thực có thể thực thi mã tùy ý trên hệ thống bị ảnh hưởng.

Lỗ hổng này do nhà nghiên cứu bảo mật Richard Warren từ AmberWolf phát hiện và được đánh giá với điểm CVSS là 9.1, cho thấy mức độ nghiêm trọng cao.

Nguyên nhân của lỗ hổng xuất phát từ việc kiểm tra đầu vào không đúng cách tại cổng quản trị của Ivanti Connect Secure và Policy Secure. Kẻ tấn công có thể lợi dụng quy trình tạo Yêu cầu Ký Chứng chỉ (CSR) để chèn các ký tự Carriage Return Line Feed (CRLF) nhằm bỏ qua kiểm tra đầu vào, từ đó thay đổi tệp cấu hình của OpenSSL để thực thi mã độc.

Phương thức tấn công

Kẻ tấn công có thể tải lên các tệp nhật ký giả mạo dưới dạng ZIP thông qua tính năng Client Log Upload của Ivanti, lưu trữ tệp này trên máy chủ và tham chiếu nó trong cấu hình OpenSSL. Điều này dẫn đến việc thực thi mã độc, với quyền root, tạo ra một kết nối từ xa và chiếm quyền kiểm soát toàn bộ hệ thống.

Phiên bản bị ảnh hưởng

  • Ivanti Connect Secure: Tất cả các phiên bản trước 22.7R2.1
  • Ivanti Policy Secure: Tất cả các phiên bản trước 22.7R1.1

Khuyến nghị

Người dùng cần cập nhật ngay lập tức lên các phiên bản vá lỗi mới nhất:

  • Ivanti Connect Secure: Phiên bản 22.7R2.1, 22.7R2.2, và 9.1R18.9 (sẽ phát hành vào ngày 15 tháng 10).
  • Ivanti Policy Secure: Phiên bản 22.7R1.1.

Nếu không thể cập nhật ngay lập tức, Ivanti khuyến nghị người dùng:

  • Giới hạn quyền truy cập quản trị: Chỉ bật quyền truy cập quản trị qua giao diện quản lý nội bộ, tách biệt với mạng internet.
  • Tăng cường bảo mật truy cập: Sử dụng mật khẩu mạnh và triển khai xác thực đa yếu tố (MFA).

Nguồn: VNCERT/CC

Công ty CP Dịch vụ an toàn thông tin TP.HCM (HISSC) chuyên cung cấp các dịch vụ về an ninh mạng gồm:

  • Điện toán đám mây.

  • Mạng phân phối nội dung

  • Giám sát an toàn thông tin mạng.

  • Bảo vệ an toàn thông tin đầu cuối.

  • Sao lưu, phục hồi dữ liệu.

  • Diễn tập phòng chống tấn công mạng.

  • Kiểm tra, đánh giá an toàn thông tin mạng.

  • Đào tạo an toàn thông tin.

  • Dịch vụ khác:

    • Triển khai tích hợp giải pháp công nghệ an toàn thông tin theo yêu cầu.
    • Cho thuê thiết bị an toàn thông tin, công nghệ thông tin

Liên hệ dịch vụ: