¿Qué es la vulnerabilidad CVE-2023-46805?

CVE-2023-46805 es una vulnerabilidad de omisión de autenticación en el componente web de Ivanti Connect Secure (antes Pulse Secure) y las puertas de enlace Ivanti Policy Secure. En términos simples, permite que un atacante evada los controles de acceso y entre a partes protegidas de la puerta de enlace VPN sin necesidad de iniciar sesión. Esta vulnerabilidad es la llave que abre la puerta a ataques más severos, especialmente cuando se combina con una falla de inyección de comandos.

¿Cuándo se descubrió?

Ivanti reveló la vulnerabilidad el 10 de enero de 2024, después de que investigadores de seguridad observaran que se explotaba activamente en entornos reales. No se trataba de un error teórico; los atacantes ya la estaban usando para atacar objetivos. La explotación activa por parte de actores de amenazas sofisticados, incluidos grupos patrocinados por estados, convirtió esto en una vulnerabilidad de zero-day que puso en alerta a administradores de sistemas en todas partes.

Productos y versiones afectados

Descripción técnica de CVE-2023-46805

La vulnerabilidad es un problema de path traversal dentro de la interfaz web del dispositivo. Al enviar una solicitud especialmente diseñada al dispositivo, un atacante puede omitir las verificaciones de autenticación. El exploit implica manipular ciertas rutas URI para acceder a endpoints restringidos. Esta falla no otorga ejecución de código por sí sola, pero le da a un atacante no autenticado acceso al funcionamiento interno de la puerta de enlace VPN, preparando el terreno para un ataque de seguimiento más dañino.

Tácticas, técnicas y procedimientos (TTPs)

Los atacantes usan CVE-2023-46805 como su vía de entrada. Escanean internet en busca de puertas de enlace Ivanti vulnerables. Una vez que encuentran un objetivo, explotan esta vulnerabilidad para omitir la pantalla de inicio de sesión. A partir de ahí, casi siempre la encadenan con otro exploit, como la falla de inyección de comandos CVE-2024-21887. Esta combinación les permite ejecutar comandos arbitrarios, desplegar web shells para acceso persistente, robar credenciales y moverse más profundo en la red corporativa.

Indicadores de compromiso

Los indicadores clave incluyen entradas inusuales en los registros web del dispositivo, que muestran acceso a endpoints normalmente restringidos desde direcciones IP no autenticadas. Ivanti también lanzó una Integrity Checker Tool que puede escanear el sistema en busca de señales de compromiso, como archivos modificados o procesos nuevos no autorizados. Las soluciones EDR y SIEM se pueden usar para monitorear conexiones salientes desde el dispositivo VPN hacia dominios sospechosos o la creación de web shells en los directorios del dispositivo.

Pruebas de concepto y exploits conocidos

Esta vulnerabilidad se explotó como zero-day antes de ser divulgada públicamente. Investigadores de seguridad y actores de amenazas desarrollaron y publicaron rápidamente código de prueba de concepto. La cadena de explotación (CVE-2023-46805 + CVE-2024-21887) ha sido usada por múltiples grupos APT para obtener acceso inicial y establecer persistencia a largo plazo dentro de redes objetivo en los sectores de gobierno, defensa y tecnología.

¿Cómo detectar la vulnerabilidad CVE-2023-46805?

Primero, verifica si estás ejecutando una versión vulnerable de Ivanti Connect Secure o Policy Secure. Si es así, necesitas actuar rápido. Ejecuta la Integrity Checker Tool externa proporcionada por Ivanti para buscar cualquier señal de compromiso. Esto es fundamental porque podrías haber sido comprometido antes de poder parchar. Se debe realizar un análisis de red y análisis de registros para buscar los IOC específicos asociados con la cadena de explotación.

Impacto y riesgo de la vulnerabilidad CVE-2023-46805

El impacto es severo. Como las puertas de enlace VPN se ubican en el borde de una red, su compromiso da un camino directo a los recursos internos de una organización. La explotación exitosa de toda la cadena le da a un atacante un punto de apoyo poderoso para exfiltrar datos, desplegar ransomware y realizar espionaje. Para cualquier organización que dependa de estos dispositivos para el acceso remoto seguro, esta vulnerabilidad representa una amenaza directa y crítica para toda la red.

Estrategias de mitigación y remediación

Aplicar los parches es la prioridad principal. Ivanti lanzó actualizaciones para todas las versiones afectadas y necesitas aplicarlas de inmediato. Sin embargo, antes de parchar, debes ejecutar la Integrity Checker Tool para buscar señales de compromiso. Si la herramienta encuentra algo, estás en modo de respuesta a incidentes. Como medida temporal antes de que los parches estuvieran disponibles, Ivanti ofreció una solución alternativa mediante la importación de un archivo XML, pero esto no sustituye un parche completo.