Новости Скорее обновляться: эксплойт для RCE в Ivanti EPM активно гуляет по сети

[NewsMaker]

Брешь в безопасности позволяет злоумышленникам получить полный контроль над системой.

---

---

Исследователи опубликовали PoC - эксплойт для критической уязвимости в Ivanti Endpoint Manager ( Для просмотра ссылки Войди или Зарегистрируйся , оценка CVSS: 9.8), которая позволяет удалённое выполнение кода ( RCE ). Эксплойт уже находится в открытом доступе, что делает особенно важным своевременное обновление устройств для защиты от возможных атак.

Уязвимость связана с проблемой десериализации ненадёжных данных, которая затрагивает версии Ivanti Endpoint Manager до 2022 SU6 и EPM 2024. <span style="font-family: var(--ui-font-family-primary, var(--ui-font-family-helvetica));">Детали уязвимости были обнаружены исследователем безопасности Синой Хейрхой (@SinSinology) и сообщены через Zero Day Initiative ( ZDI ) 1 мая 2024 года. Недавно </span> Для просмотра ссылки Войди или Зарегистрируйся <span style="font-family: var(--ui-font-family-primary, var(--ui-font-family-helvetica));"> подробное описание механизма эксплуатации этой уязвимости, что может привести к росту числа атак в ближайшее время.</span>

Уязвимость возникает из-за небезопасной десериализации в компоненте AgentPortal.exe, а именно в методе OnStart. Этот метод использует устаревшую технологию Microsoft.NET Remoting для связи удалённых объектов, открывая возможность для злоумышленников вводить вредоносные объекты в систему.

Атака включает отправку специально созданных сериализованных объектов на уязвимый сервер, что позволяет злоумышленнику выполнять произвольные операции, включая чтение или запись файлов. Это может привести к установке веб-оболочек для выполнения кода на сервере.

Хотя в уязвимом компоненте присутствуют ограничения на десериализацию определённых объектов, исследователь Хейрхой описал способ обхода этой защиты, что делает эксплуатацию уязвимости ещё более опасной.

10 сентября Ivanti Для просмотра ссылки Войди или Зарегистрируйся для версий EPM 2022 и 2024, которые устраняют данную проблему. На данный момент других способов смягчения угрозы, кроме установки обновлений, не предлагается, в связи с чем всем клиентам настоятельно рекомендуется обновить свои системы как можно скорее.