Ivanti CSA vulnerabilidad por omisión de autenticación

Ivanti ha emitido una advertencia sobre una vulnerabilidad critica de omisión de autenticación en su solución Cloud Services Appliance (CSA), identificada como CVE-2024-11639. La vulnerabilidad permite a los atacantes remotos obtener privilegios administrativos sin autenticación ni interacción del usuario, lo que les permite eludir las medidas de seguridad explotando una ruta o canal alternativo.

¿Cuál es la amenaza?

CVE-2024-11639 es una vulnerabilidad de omisión de autenticación de máxima gravedad que se encuentra en las soluciones CSA de Ivanti. Esta falla se origina en un error lógico en el proceso de autenticación que les permite a los atacantes eludir los controles de acceso estándar mediante la explotación de una ruta o canal alternativo dentro de la aplicación. En concreto, la vulnerabilidad aprovecha una falla en el mecanismo de autenticación. Un atacante puede crear una solicitud especialmente diseñada para eludir las comprobaciones de autenticación normales, lo que les otorga de manera efectiva acceso privilegiado sin credenciales validas.

Los atacantes pueden explotar la ruta alternativa para obtener el control administrativo total del dispositivo CSA. Este acceso les permite realizar una variedad de acciones maliciosas, como alterar las configuraciones de seguridad, crear nuevas cuentas de administrador y acceder a datos confidenciales enrutados a través del dispositivo. Además, los atacantes podrían usar este punto de apoyo administrativo para instalar Malware o puertas traseras, lo que proporciona acceso persistente a la red.

La naturaleza remota de la vulnerabilidad significa que un atacante puede explotarla desde cualquier parte del mundo, siempre que tenga acceso a la red del dispositivo vulnerable. Además, la ausencia de cualquier necesidad de interacción del usuario aumenta significativamente la probabilidad de una explotación exitosa, lo que lo convierte en una amenaza particularmente grave para las organizaciones que dependen de CSA para funciones de puerta de enlace y acceso remote seguro.

¿Por qué es de relevancia?

Esta vulnerabilidad representa una amenaza inmediata para las organizaciones que utilizan versiones vulnerables de CSA. Dado que ofrece a los atacantes la posibilidad de eludir la autenticación sin interacción del usuario, reduce significativamente el nivel de vulnerabilidad de los atacantes, lo que puede llevar a una explotación generalizada. Las soluciones CSA de Ivanti se utilizan comúnmente para facilitar el acceso remoto seguro. Un dispositivo comprometido podría dar lugar a un acceso no autorizado a redes internas, lo que podría exponer datos confidenciales y sistemas críticos. Dado el papel estratégico de CSA en la seguridad de la red, esta vulnerabilidad tiene el potencial de ser un objetivo de alto valor tanto para los ciberdelincuentes como para los atacantes persistentes (APT)

¿Cuál es el riesgo?

Las organizaciones que utilizan las versiones 5.0.2 o anteriores de Ivanti CSA corren un riesgo considerable. Una explotación exitosa de esta vulnerabilidad podría dar lugar al control administrativo completo del dispositivo afectado, lo que permitiría a los atacantes interrumpir las operaciones, robar datos o lanzar mas ataques contra los sistemas internos. Dada la naturaleza critica de la solución CSA para proteger las conexiones remotas, una vulneración podría tener efectos en cascada, incluidas sanciones regulatorias, daños a la reputación y pérdidas financieras.

Recomendaciones

Se recomienda que las organizaciones tomen medidas para reducir el riesgo de explotación y proteger su infraestructura critica:

• Aplique el parche Ivanti disponible para solucionar esta vulnerabilidad.
• Limite la exposición de los dispositivos CSA a Internet y asegúrese de que solo se pueda acceder a ellos desde redes confiables
• Implemente un monitoreo continuo, como un sistema XDR, para detectar cualquier acceso no autorizado o actividad anómala en los dispositivos CSA.

• Realice auditorias y pruebas periódicas de su red y sus dispositivos para detectar vulnerabilidad y garantizar que las brechas de seguridad se identifiquen y solucionen rápidamente.

Empieza a ahorrar con nuestros servicios de ciberseguridad administrados, contáctanos ahora mismo:

• Sitio web: Cobra Networks proveedor de Ciberseguridad en México para las marcas de Barracuda Networks, Censornet, Untangle
• Teléfono: +52(55)5599-0691
• Correo de contacto: ventas@cobranetworks.lat

JR