Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Vulnerabilidad CVE-2024-21887
Vulnerabilidad CVE-2024-21887
Publicado: 21/11/25
Escrito por: Nadine Rozell
Las CVE son Vulnerabilidades y Exposiciones Comunes, identificadores únicos para vulnerabilidades de ciberseguridad públicamente conocidas. CVE-2024-21887 es la otra mitad de una devastadora cadena de explotación dirigida a las VPN Ivanti Connect Secure. Esta vulnerabilidad de inyección de comandos es el golpe final que sigue al jab de una omisión de autenticación, lo que permite a los atacantes tomar el control total de un dispositivo de red crítico.
Esta página explica cómo funciona esta falla peligrosa, su enorme impacto al combinarse con CVE-2023-46805, y las acciones urgentes que debes tomar. Vamos a asegurar esto.
¿Qué es la vulnerabilidad CVE-2024-21887?
CVE-2024-21887 es una vulnerabilidad de inyección de comandos en los componentes web de Ivanti Connect Secure (ICS) and Ivanti Policy Secure gateways. Después de que un atacante supera la página de inicio de sesión (por lo general mediante CVE-2023-46805), esta vulnerabilidad le permite ejecutar comandos arbitrarios en el dispositivo con privilegios elevados. Es el paso final de una cadena de explotación de zero-day que le da a los atacantes un punto de apoyo potente y persistente justo en el borde de tu red.
¿Cuándo se descubrió?
Ivanti reveló esta vulnerabilidad el 10 de enero de 2024, al mismo tiempo que su socio, CVE-2023-46805. El dúo ya estaba siendo explotado en entornos reales por actores de amenazas sofisticados, lo que convirtió esto en un gran evento de zero-day. Los ataques activos apuntaron a organizaciones gubernamentales y comerciales, lo que demostró que era una amenaza seria desde el momento en que se anunció.
Productos y versiones afectados
Producto | Versiones afectadas | Versiones corregidas / parches |
Ivanti Connect Secure (ICS) | 9.x, 22.x | Parches disponibles para todas las versiones afectadas |
Ivanti Policy Secure | 9.x, 22.x | Parches disponibles para todas las versiones afectadas |
Ivanti Neurons for ZTA |
| No vulnerable |
Descripción técnica de CVE-2024-21887
Una vez que un atacante ha superado la autenticación usando CVE-2023-46805, puede explotar CVE-2024-21887 enviando una solicitud especialmente diseñada a ciertos endpoints web del dispositivo. Dado que el sistema no sanitiza correctamente la entrada controlada por el usuario, el atacante puede inyectar y ejecutar comandos arbitrarios. Estos comandos se ejecutan con privilegios altos, lo que le permite al atacante hacer casi cualquier cosa en el dispositivo, como modificar archivos del sistema, robar credenciales o implementar puertas traseras.
Tácticas, técnicas y procedimientos (TTPs)
Esta vulnerabilidad casi siempre se explota como parte de una cadena. Primero, el atacante usa CVE-2023-46805 para entrar. Luego, usa CVE-2024-21887 para tomar el control. Las actividades posteriores a la explotación más comunes incluyen implementar web shells para persistencia, exfiltrar datos de configuración (incluidas las credenciales de usuario) y usar la VPN comprometida como punto de pivote para avanzar más profundamente en la red interna. Es un compromiso total de la puerta de enlace.
Indicadores de compromiso
Los indicadores de esta vulnerabilidad son similares a los de su falla socio. Busca comandos sospechosos que se ejecuten mediante el proceso del servidor web en el dispositivo Ivanti. La herramienta Integrity Checker Tool de Ivanti está diseñada para detectar modificaciones de archivos y otras señales de compromiso. Desde la perspectiva de la red, monitorea el tráfico saliente inesperado desde el gateway VPN, ya que podría tratarse del canal de comando y control (C2) de un atacante o de una exfiltración de datos.
Pruebas de concepto y exploits conocidos
La cadena de explotación fue utilizada por grupos de amenazas persistentes avanzadas (APT) incluso antes de que se hiciera pública. Desde la divulgación, se han publicado múltiples scripts de prueba de concepto, lo que hace que el exploit sea accesible para una gama más amplia de atacantes. La fiabilidad de la cadena de explotación la convirtió en una favorita inmediata para los actores de amenazas que buscan vulnerar redes seguras.
Cómo detectar la vulnerabilidad CVE-2024-21887
Primero, identifica si estás usando una versión vulnerable de Ivanti Connect Secure o Policy Secure. Si es así, debes ejecutar de inmediato la herramienta externa Integrity Checker Tool de Ivanti para determinar si fuiste comprometido. Este es un paso crítico. Los equipos de seguridad también deben analizar los registros del dispositivo en busca de ejecuciones de comandos inusuales o modificaciones de archivos que coincidan con los indicadores de compromiso (IOC) conocidos para este ataque.
Impacto y riesgo de la vulnerabilidad CVE-2024-21887
El impacto es catastrófico. La ejecución completa de comandos en un dispositivo de seguridad perimetral como una puerta de enlace VPN es el peor escenario posible. Le da a un atacante un punto de entrada estable y confiable hacia tu organización. Puede interceptar tráfico, robar credenciales y lanzar más ataques contra tu infraestructura interna. Para cualquier organización que use estos dispositivos, esta vulnerabilidad representa un riesgo urgente y severo.
Estrategias de mitigación y remediación
Aplica los parches, todos. Ivanti lanzó actualizaciones para todos los productos afectados, y necesitas aplicarlas lo antes posible. Pero no basta con aplicar el parche y seguir de largo. Es absolutamente esencial ejecutar primero la herramienta Integrity Checker Tool para buscar señales de un compromiso existente. Si tu dispositivo está comprometido, debes asumir que tu red fue vulnerada e iniciar tu plan de respuesta a incidentes. Los parches cerrarán la puerta, pero necesitas asegurarte de que nadie haya entrado ya.
Preguntas frecuentes sobre la vulnerabilidad CVE-2024-21887
CVE-2024-21887 es una falla de inyección de comandos en los dispositivos VPN de Ivanti. Después de que un atacante evade la autenticación (por lo general con CVE-2023-46805), esta vulnerabilidad le permite ejecutar cualquier comando que quiera en el dispositivo con altos privilegios.
Es el segundo paso de un ataque. Después de obtener acceso, el atacante envía solicitudes maliciosas al servidor web del dispositivo. Estas solicitudes engañan al servidor para que ejecute comandos del sistema, dándole al atacante control total para instalar malware o robar datos.
Por supuesto. Las puertas de enlace VPN sin parches y expuestas a internet son objetivos de alto valor. Los atacantes las escanean constantemente. Mientras existan dispositivos vulnerables, esta cadena de explotación seguirá siendo un método popular de intrusión en redes.
Tu máxima prioridad es aplicar los parches de seguridad proporcionados por Ivanti. Antes de aplicar el parche, debes ejecutar la herramienta Integrity Checker Tool para verificar si hay un compromiso existente. Si encuentras uno, es momento de llamar a tu equipo de respuesta a incidentes.
