CISA thêm hai điều khoản Ivanti VPN để khai thác-Vulneralog có vai trò là đường dây chết liên bang cho vùng đất nguy hiểm ngày nay
Cơ quan Bảo mật Mạng và Cơ quan Bảo mật Mạng Hoa Kỳ (CISA) cập nhật báo động an ninh vào ngày 30 tháng 10 để thêm hai điểm yếu trong tập đoàn Ivanti kết nối công ty bảo mật VPN, CVE-26-1157 và CVE-26-118527, vào các điểm yếu được biết đến của họ (KEV) Catalog — và thời hạn định lại nó đặt ra cho các cơ quan dân sự liên bang cho điểm quan đến ngày hôm nay, 2 tháng 11 năm 2. Ivanti kết nối an toàn được sử dụng rộng rãi để truy cập từ xa bởi các công ty và cơ quan chính phủ, và CISA nói rằng các diễn viên đe dọa đang tích cực khai thác các khuyết điểm.
Theo báo động của CISA, chuỗi ba khuyết điểm cùng nhau: cộng với CVE-26-104935, được thêm vào danh mục vào ngày 13 tháng 10, họ cho phép một kẻ tấn công từ xa, chưa được xác nhận thực hiện mệnh lệnh tùy ý, ăn cắp thông tin và di tản. Phiên bản có ảnh hưởng được kết nối 25.1.2 và trước, 25.1.2.2 và trước, 22.8R2.5 và trước. Công ty bảo an Volexity nói rằng một diễn viên mà nó theo dõi là UTA0576 đã khai thác chuỗi từ đầu tháng 10, trong một trường hợp, đột nhập vào một thiết bị vá hoàn toàn, có quyền truy cập nguồn gốc và đi thẳng đến giấy chứng nhận thư mục hoạt động.
Trong hai thiếu sót mới được liệt kê, CVE-26-111357 là một vấn đề mất tích-tự xác định hóa CVSS 8.8 cho phép một người tấn công xác thực địa phương leo thang đến gốc; thời hạn liên bang là ngày 2 tháng 11. CVE-26-118527, một vấn đề có thể đoán trước được là CVSS 4.3, cho phép một kẻ tấn công từ xa đăng tải tập tin đến một địa điểm trên đĩa; thời hạn của nó là ngày 13 tháng 11. Ivanti phát hành cố định tòa nhà 22.8R2.6 và 25.1.3 vào ngày 29 tháng 10.
CISA khuyến khích mỗi tổ chức chạy đều ảnh hưởng đến các thiết bị để cập nhật ngay bản mới nhất. Nó cũng cảnh báo rằng công cụ kiểm tra tính chính trực của Ivanti có thể không phát hiện khai thác của CVE-26-104935 bởi vì lệnh của kẻ tấn công thực hiện trong bộ nhớ; các tổ chức mà nghi ngờ một thỏa hiệp cần mạng và bộ nhớ pháp y và nên theo thủ tục phục hồi của Ivanti, thiết lập lại mật khẩu tài khoản, chứng chỉ và chìa khóa. CISA cũng ghi nhận rằng việc kết nối phiên bản bảo mật 22.8 đã chấm dứt sự sống vào ngày 31 - 1 - 2027.
Nguồn: GSM · Hoa Kỳ (ấn bản tiếng Anh · ấn bản gốc tiếng Trung)
Ảnh: 美国国土安全部总部（圣伊丽莎白园区）航拍。照片：Michael Hvozda／美国海岸警卫队，公共领域，经 Wikimedia Commons。
