Контакты
Подписка 2025
ITSEC 2025
Интеграция безопасности в процессы внутренней разработки. 17-18 июня на Форуме ITSEC 2025
Регистрируйтесь и участвуйте!

Незамеченная на протяжении 7 лет уязвимость позволяет взломать устройства Ivanti через cookie-файлы

21/02/24

hack120-Feb-21-2024-10-42-45-0399-AM

Уязвимость Ivanti, которая была раскрыта 2 года назад, до сих пор вызывает беспокойство специалистов из-за своего загадочного происхождения, согласно Securitylab.

Речь идет об уязвимости внедрения кода CVE-2021-44529 (оценка CVSS: 9.8) в устройстве Ivanti EPM Cloud Services Appliance (CSA), которая позволяет неаутентифицированному злоумышленнику выполнять произвольный код с ограниченными разрешениями (уровень прав «nobody”). После обнаружения уязвимости в 2021 году компания Ivanti выпустила рекомендации по безопасности, в которых говорится, что уязвимый код расположен в «/opt/landesk/broker/webroot/lib/csrf-magic.php», а целью атаки является — «/client/index.php».

Интерес к данной уязвимости возрос после того, как ИБ-шник Viettel Cyber ​​Security Туан Ань Нгуен в 2020 году упомянул о наличии бэкдора в библиотеке csrf-magic, которая, по его словам, уже не поддерживается. Поиск дополнительной информации о бэкдоре в csrf-magic не принёс результатов, однако использование архива Way Back Machine позволило обнаружить скомпрометированный файл, последнее изменение в котором было сделано ещё в феврале 2014 года. Это означает, что уязвимость могла оставаться незамеченной на протяжении многих лет.

Дальнейший анализ кода привёл к обнаружению механизма бэкдора, который был спрятан в конце файла в обфусцированном коде. Процесс деобфускации кода выявил, что для активации бэкдора необходимо выполнение определённых условий, связанных с cookie-файлов браузера пользователя.

Примечательно, что код динамически генерирует функцию, которая позволяет достигнуть удаленного выполнения кода на основе куки (Cookie-based RCE), несмотря на то, что функция create_function() устарела в PHP 8 и выше. Эксплуатация уязвимости осуществляется через специально сформированные заголовки куки, содержащие base64-закодированный PHP код. Для выполнения атаки необходимо, чтобы количество пар куки было больше 3, а значение первой пары было «ab». Если эти условия выполняются, код из куки, соответствующий значению счётчика минус три, декодируется и выполняется.

Остаётся открытым вопрос о причинах добавления такого кода в программное обеспечение: является ли это остатком тестирования или скрытым методом доступа к аппаратуре. Поиск в Shodan показывает, что более 2 000 таких устройств всё ещё подключены к интернету, и около 15% из них работают на уязвимой версии.

Для дальнейшего повышения привилегий на устройстве можно воспользоваться уязвимостью CVE-2021-4034 (оценка CVSS: 7.8) в операционной системе CentOS, лежащей в основе Ivanti CSA. Эксплуатация ошибки позволяет получить права root.

Темы:Угрозыcookie-файлыВебмониторэксIvanti
КИИ
Защита контейнеров и микросервисной разработки на Форуме ITSEC 2025
Регистрируйтесь и участвуйте 18 июня 2025 →
Статьи по темеСтатьи по теме

  • Aladdin eCA – доверенная альтернатива Microsoft CA
    Денис Полушин, руководитель направления PKI компании Аладдин
    Aladdin eCA – это полнофункциональная отечественная альтернатива Microsoft CA, обеспечивающая комплексную защиту цифровой идентификации и интеграцию в существующие экосистемы предприятий.
  • SECURITM делает безопасность доступной и эффективной
    Николай Казанцев, CEO компании SECURITM
    Николай Казанцев, CEO компании SECURITM, о философии информационной безопасности, доступности решений для бизнеса любого масштаба, о построении идеальной инфраструктуры и о том, как меняется подход к управлению информационной безопасностью.
  • Безопасность приложений на базе SAP и 1С начинается с проверки кода
    Екатерина Герлинг, ведущий инженер-аналитик Лаборатории стратегического развития продуктов кибербезопасности Аналитического центра кибербезопасности ООО “Газинформсервис”
    После ухода SAP с российского рынка система 1С стала чуть ли не единственной альтернативой, но разработка под эту платформу требует значительных ресурсов, а специалистов не хватает. При этом анализ и защита кода для таких систем — сложный процесс, требующий специализированных решений. На российском рынке есть решения, которые помогут обеспечить безопасность корпоративных приложений на 1С и SAP.
  • "Находка" для критической информационной инфраструктуры
    Евгений Пугач, руководитель отдела по информационной безопасности ООО “ИТЭК”
    Cубъекты КИИ постоянно сталкиваются с необходимостью учитывать широкий спектр факторов: от изменений в законодательстве до анализа актуальных угроз. Эти данные необходимо не только собрать, но и структурировать, обрабатывать и постоянно обновлять, чтобы поддерживать соответствие требованиям и обеспечить надежную защиту – частью этой работы является ведение так называемой "бумажной" составляющей информационной безопасности.
  • Обзор новинок UserGate конца 2024 года
    Компания UserGate обычно радует рынок своими новинками в апреле, но в этом году решила, что ждать весны слишком долго, и выстрелила новыми продуктами уже в ноябре. Темп инноваций лишний раз напоминает, что улучшение безопасности – это вопрос не календаря, а готовности разработчиков удивлять своих клиентов.
  • Что нужно знать про новые штрафы в области ПДн?
    Валерий Нарежный, к.э.н., советник юридической фирмы “Городисский и Партнеры”
    В сфере обработки ПДн в России произошли серьезные изменения – приняты поправки в УК РФ и КоАП РФ, направленные на повышение ответственности организаций и физических лиц за нарушения.

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2025
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
ТБ Форум
Проектирование и защита API на Форуме ITSEC 2025
Посетите 17-18 июня →

Еще темы...

More...