Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Vulnerabilidad CVE-2024-21893
Vulnerabilidad CVE-2024-21893
Publicado: 21/11/2025
Escrito por: Lizzie Danielson
¿Qué es la vulnerabilidad CVE-2024-21893?
CVE-2024-21893 es una ejecución remota de código (RCE) crítica encontrada en ciertas versiones del software de gateway seguro de Ivanti. Permite a los atacantes ejecutar código arbitrario en un sistema comprometido, a menudo explotando debilidades en los procesos de autenticación. Esta vulnerabilidad, causada por una validación de entrada insuficiente, representa riesgos significativos para las empresas que dependen de las soluciones de Ivanti para proteger sus datos.
¿Cuándo se descubrió?
La vulnerabilidad CVE-2024-21893 se dio a conocer públicamente en enero de 2024 por investigadores de seguridad, tras haber sido reportada inicialmente a fines de 2023. El crédito por el descubrimiento corresponde a investigadores independientes que colaboraron con Ivanti. Ivanti emitió de inmediato un aviso de seguridad y un parche tras la divulgación.
Productos y versiones afectados
Producto | Versiones afectadas | Versiones corregidas / enlaces de parches |
Ivanti Connect Secure | 9.2R1 – 9.2R9 | Aviso de parche de Ivanti |
Ivanti Policy Secure | 9.1R3 – 9.1R7.3 | Aviso de parche de Ivanti |
Descripción técnica de CVE-2024-21893
La vulnerabilidad CVE-2024-21893 se origina en la falta de una validación de entrada adecuada en los procesos de manejo de autenticación de Ivanti. Los atacantes pueden crear solicitudes HTTP maliciosas que explotan estas fallas, lo que lleva a la ejecución arbitraria de código. La causa raíz radica en tokens de autenticación mal depurados que permiten a los atacantes remotos eludir los controles de seguridad y tomar control total de los sistemas afectados. Las pruebas revelaron que las rutas de código vulnerables son específicas del mecanismo de autenticación de usuarios, lo que hace que los sistemas sin parchear sean especialmente susceptibles.
Tácticas, técnicas y procedimientos (TTPs)
Los atacantes que aprovechan CVE-2024-21893 suelen utilizar correos de phishing para distribuir sus exploits. Entre las tácticas comunes se incluye la inyección de cargas maliciosas en las solicitudes de autenticación o el uso de credenciales comprometidas para obtener acceso remoto.
Indicadores de compromiso (IoC)
Las organizaciones deben vigilar intentos de autenticación inusuales, entradas inesperadas en los registros del sistema y conexiones salientes hacia IP sospechosas. Los IoC específicos incluyen el acceso a dominios maliciosos conocidos vinculados a campañas de explotación y acciones administrativas no autorizadas.
Pruebas de concepto y exploits conocidos
Se han desarrollado varias pruebas de concepto (PoC), algunas de las cuales se han convertido en armas dentro de campañas de ataque activas. Frameworks de explotación como Metasploit han incorporado módulos para CVE-2024-21893, lo que facilita a los atacantes el uso de esta vulnerabilidad como arma.
¿Cómo detectar la vulnerabilidad CVE-2024-21893?
Para detectar CVE-2024-21893, las organizaciones deben utilizar soluciones de Detección y respuesta para endpoints (EDR) y plataformas SIEM. Las reglas de detección personalizadas para monitorear los registros de autenticación, como la detección de tokens malformados, pueden ayudar a identificar intentos de explotar esta vulnerabilidad. Las fuentes de registro a consultar incluyen los registros de solicitudes HTTP y los registros de autenticación de usuarios.
Impacto y riesgo de la vulnerabilidad CVE-2024-21893
Esta vulnerabilidad afecta significativamente la confidencialidad, integridad y disponibilidad de los datos. Una explotación exitosa permite a los atacantes desplegar ransomware, robar información confidencial o interrumpir servicios. Entre los escenarios de uso indebido se incluyen transacciones financieras no autorizadas y la exfiltración de propiedad intelectual.
Estrategias de mitigación y remediación
Las organizaciones deben aplicar de inmediato los últimos parches proporcionados por Ivanti a los productos afectados. Para los sistemas que no se puedan parchear, las mitigaciones temporales incluyen deshabilitar los servicios vulnerables, segmentar las redes e implementar políticas estrictas de control de acceso. Las auditorías de seguridad regulares y el monitoreo de los IoC son fundamentales para una protección continua.
Preguntas frecuentes sobre la vulnerabilidad CVE-2024-21893
CVE-2024-21893 es una vulnerabilidad de ejecución remota de código (RCE) que afecta al software Ivanti Connect y Policy Secure. Aprovecha fallas en los sistemas de autenticación, lo que permite a los atacantes ejecutar código malicioso de forma remota.
Los atacantes usan esquemas de phishing o inyectan cargas maliciosas en las solicitudes de autenticación. Estas cargas aprovechan debilidades en la validación de entradas, lo que les permite eludir las medidas de seguridad y comprometer los sistemas.
Aunque se espera que la mayoría de las organizaciones parcheen rápidamente el software afectado, los sistemas sin parchear siguen siendo vulnerables. Las campañas de ataque que aprovechan esta vulnerabilidad pueden persistir durante años.
Las organizaciones deben instalar todos los parches pertinentes, monitorear el tráfico de red en busca de IoC y seguir las mejores prácticas de control de acceso. Usar herramientas EDR y SIEM actualizadas también puede ayudar a detectar y mitigar amenazas.
