Vulnérabilité · Mondial · Janvier 2024

Vulnérabilités en chaîne d’Ivanti Connect Secure

Un contournement de l’authentification combiné à une injection de commandes a permis de compromettre des équipements VPN Ivanti sans authentification.

Incident

Ce qui s’est passé

CVE-2023-46805 (contournement de l’authentification) et CVE-2024-21887 (injection de commandes) pouvaient être exploitées en chaîne pour permettre l’exécution de code à distance.

Une exploitation a été observée avant la disponibilité des correctifs, et la CISA a publié une directive d’urgence à l’intention des agences fédérales américaines.

Les attaquants ont tenté de contourner l’outil de vérification de l’intégrité de l’éditeur.

Analyse

Enseignements tirés

Les équipements VPN nécessitent une surveillance à plusieurs niveaux, et pas uniquement les contrôles d’intégrité du fournisseur.

La préparation aux incidents doit inclure des procédures pour les équipements qui ne peuvent pas recevoir de correctifs immédiatement.

La segmentation limite les ressources auxquelles un attaquant peut accéder après avoir compromis un équipement en périphérie du réseau.

Prévention

Apports des tests d’intrusion

Les tests réseau vérifient la segmentation et les ressources auxquelles un attaquant peut accéder depuis un équipement périmétrique compromis.

Voir le service associé Demander une évaluation

Sources

Synthèse fondée sur des informations accessibles au public. DIGITPOL n’a pas été impliqué dans cet incident.