#cve_2024_21893 — Public Fediverse posts

I buried the lede in not mentioning that UNC5291 is assessed with medium confidence to be associated with Volt Typhoon, a Chinese state-sponsored Advanced Persistent Threat (APT).  See related The Record reporting: Volt Typhoon and 4 other groups targeting US energy and defense sectors through Ivanti bugs

#Ivanti #ConnectSecure #vulnerability #cyberespionage #China #activeexploitation #eitw #zeroday #KEV #CISA #CVE_2023_46805 #CVE_2024_21887 #CVE_2024_21893 #UNC5221 #UNC5266 #UNC5330 #UNC5337 #UNC5291

Mandiant releases part 4 of the Ivanti Connect Secure incident response investigation. They detail different types of post-exploitation activity across their IR engagements. Chinese threat actors have a growing knowledge of Ivanti Connect Secure in abusing appliance-specific functionality to perform actions on objective. They highlight FIVE Chinese threat actors: UNC5221, UNC5266, UNC5330, UNC5337, and UNC5291 abusing a mix of CVE-2023-46805, CVE-2024-21887, and CVE-2024-21893. New TTPs, new malware families and new IOC: 🔗 https://cloud.google.com/blog/topics/threat-intelligence/ivanti-post-exploitation-lateral-movement

EDIT: For your situational awareness, it's my understanding that future Mandiant articles will be located at https://cloud.google.com/blog/topics/threat-intelligence/

#Ivanti #ConnectSecure #vulnerability #cyberespionage #China #activeexploitation #eitw #zeroday #KEV #CISA #CVE_2023_46805 #CVE_2024_21887 #CVE_2024_21893 #UNC5221 #UNC5266 #UNC5330 #UNC5337 #UNC5291

Невеличкий PDF-від компанії Hive Pro, який проливає світло на атаку на Ivanti.

https://www.hivepro.com/wp-content/uploads/2024/02/Ivanti-Addresses-Zero-Day-Vulnerability-Exploited-in-Attacks_TA2024042.pdf

Ivanti — це IT-компанія з Юти, США, яка розробляє програмні рішення для кібербезпеки, управління ІТ-послугами та активами.

В Лютому 2024 були оприлюднені дві критичні вразливості CVE-2024-21893 і CVE-2024-21888. Невдовзі стало відомо, що хакери провели SSRF-атаку на сервери Ivanti.

Зловмисники знайшли діркку на боці сервера, а саме в компоненті SAML, який заснований на протоколі XML і відповідає за обмін ідентифікаторами автентифікації та авторизації. Скористались недостатньою валідацією вхідних даних і провели експлойт.

Успішна експлуатація цієї діри привела до встановлення бекдора DSLog, який дозволяє зловмисникам віддалено виконувати команди від імені root на зламаних серверах Ivanti.

Фактично, хакери відправили шкідливі запити (malicious requests), які обманом змусили сервер надсилати їх до внутрішніх ресурсів системи і отримати доступ до сенситивних, конфіденційних даних!

Важливо відзначити, що ця вразливість не рідкість, SSRF зараз набирає великих оборотів і експлуптується повсюдно. На сьогодні чимало веб-додатків і хмарних платформ вразливих до SSRF (Server-Side Request Forgery).

#ivanti #cybersecurity #securitynews #hacking #hack #hackers #servers #infrastructure #itsecurity #reports #research #кібербезпека #CVE_2024_21893 #CVE_2024_21888

Rapid7 has a full analysis of the #Ivanti #CVE_2024_21893 exploit chain here courtesy of @stephenfewer. Interestingly, it looks like this may actually be n-day from last year: https://attackerkb.com/topics/FGlK1TVnB2/cve-2024-21893/rapid7-analysis

𝗚𝗘𝗧 /𝗵𝗮𝗰𝗸%𝟮𝟬𝘁𝗵𝗲%𝟮𝟬𝗽𝗹𝗮𝗻𝗲𝘁 𝗛𝗧𝗧𝗣/𝟭.𝟬 😅​ (:facepalm_cirno:​ )

Descriptif par Rapid7 des modalités d'exploitation de la dernière vulnérabilité CVE-2024-21893 déclarée par Ivanti, comme exploitée dans des attaques ciblées.
(mitigation disponible sur le site de l'éditeur)
👇​
https://attackerkb.com/topics/FGlK1TVnB2/cve-2024-21893/rapid7-analysis?referrer=notificationEmail

#cyberveille #CVE_2024_21893