19/02/24
Недавнее исследование прошивки устройств Pulse Secure от Ivanti проливает свет на глубокие проблемы безопасности в цепочках поставок программного обеспечения. Специалисты компании Eclypsium обнаружили многочисленные уязвимости, демонстрирующие всю сложность обеспечения защиты подобных программных систем.
В ходе своего анализа исследователи использовали обратный сбор для изучения прошивка версии 9.1.18.2-24467.1, используемой в аппаратном обеспечении Pulse Secure. Было выявлено, что основой для устройств служит операционная система CentOS 6.4, базированная на Linux, которая была выпущена 11 лет назад и не получала обновления безопасности уже более трёх лет, указывают в Securitylab.
Повышенное внимание к этой проблеме вызвано недавним всплеском числа атак на продукты Ivanti, включая Connect Secure, Policy Secure и ZTA-шлюзы. Злоумышленники используют обнаруженные уязвимости для распространения вредоносного ПО, что ставит под угрозу данные и безопасность пользователей.
Среди активно эксплуатируемых уязвимостей были идентифицированы CVE-2023-46805, CVE-2024-21887 и CVE-2024-21893. Дополнительно, Ivanti раскрыла информацию о новой уязвимости CVE-2024-22024 , которая упрощает несанкционированный доступ к защищённым ресурсам.
Отчёт Eclypsium подчёркивает использование устаревших компонентов в прошивке устройств Pulse Secure, включая версию Perl, не обновлявшуюся на протяжении 23 лет, и версию ядра Linux, поддержка которой прекратилась в 2016 году. Такие находки подтверждают риск, связанный с использованием неактуального программного обеспечения.
Дальнейший анализ исследователей выявил более 1200 проблем в скриптах командной оболочки и свыше 5000 уязвимостей в файлах Python, указывая на глубокие проблемы безопасности в прошивке. Кроме того, было обнаружено 133 устаревших сертификата, что усугубляет ситуацию ещё больше.
Особое внимание было уделено недостаткам инструмента проверки целостности, рекомендованного Ivanti. Этот инструмент пропускает сканирование ключевых директорий, что теоретически позволяет злоумышленникам обходить обнаружение, создавая «ложное чувство безопасности».
На основе этих открытий Eclypsium продемонстрировала теоретическую атаку, в которой злоумышленник мог бы использовать неисправности инструмента проверки целостности для скрытного размещения вредоносного ПО.
