סוכנות האבטחה של ארצות הברית דוחקת במנהלי מערכות לתקן באופן מיידי פגיעות במוצרי Ivanti

חברת Ivanti שחררה ביום שלישי את גרסאות 22.8R2.5, 25.1.3.0, 25.1.3.1 ו-25.1.1.2 כדי לטפל בבעיה זו, והזהירה את לקוחותיה לפעול באופן מיידי בשל ניצול מוגבל של הפגיעות בשטח. חברת אבטחת הסייבר Volexity דיווחה כי תוקף לא ידוע, המכונה UTA0576, משלב פגיעות זו עם שתי פגיעות נוספות במתקפות החל מהשלישי באוקטובר לפחות. שרשרת ניצול זו משלבת עקיפת אימות, הרצת קוד מרחוק והסלמת הרשאות כדי להשיג הרצת קוד ברמת מנהל מערכת ללא אימות. Volexity זיהתה פעולות לאחר הניצול שכוונו להשגת סודות ונתוני הזדהות של Active Directory, כולל סיסמאות של פתרון סיסמאות מנהל מקומי ומפתחות שחזור של BitLocker. חברת המודיעין Defused אישרה את הדיווח וציינה כי מצאה ראיות לניצול הפגיעות כבר בראשון באוקטובר.

הארגון Shadowserver עוקב כעת אחר יותר מ-5,600 מארחים חשופים לאינטרנט עם סימני זיהוי של Ivanti Connect Secure, אך אין מידע לגבי מספר המארחים המאובטחים או מספר המארחים המשמשים כמלכודות לתוקפים.

CISA הוסיפה את הפגיעות לרשימת הפגיעות המנוצלות באופן פעיל והורתה לסוכנויות פדרליות לאבטח את הרשתות שלהן עד יום שישי, בהתאם להנחיה תפעולית מחייבת. הסוכנות פנתה לכל צוותי האבטחה ומגני הרשת לבצע תיקון מיידי ולבדוק אם חלה פריצה. CISA ציינה כי תוקפי סייבר משתמשים בפגיעות זו כדי לבצע גניבת נתוני הזדהות ושאיבת נתונים. היא הזהירה כי כלי בדיקת התקינות של Ivanti עשוי שלא לזהות את הניצול כיוון שהפקודות של התוקפים רצות בזיכרון, ולכן יש צורך בבדיקות פורנזיות של הרשת והזיכרון.

במהלך השנים האחרונות טיפלה Ivanti במספר פגיעות יום אפס נוספות, כולל עקיפת אימות והזרקת פקודות בתחילת ינואר 2024, וזיוף בקשות צד שרת שבועיים לאחר מכן. בינואר 2025 תוקנה פגיעות להרצת קוד מרחוק, ובמרץ 2025 תוקנה פגיעות דומה שנוצלה על ידי מרגלים מקושרים לסין. מאז נובמבר 2021, CISA הוסיפה 36 פגיעות של Ivanti לרשימת הפגיעות המנוצלות, כאשר 12 מהן נוצלו גם במתקפות כופרה.