¿Qué es la vulnerabilidad CVE-2024-22024?

CVE-2024-22024 es una falla de inyección de entidades externas XML (XXE) en el componente de autenticación SAML (Security Assertion Markup Language) de los gateways de Ivanti.

La vulnerabilidad existe porque la aplicación procesa entradas XML de solicitudes proporcionadas por el usuario sin deshabilitar correctamente las referencias a entidades externas. Los atacantes pueden explotar esto incrustando una referencia XML maliciosa (una "entidad") en una solicitud SAML. Cuando el servidor procesa esta solicitud, expande automáticamente la entidad, lo que puede permitir que el atacante lea archivos arbitrarios del sistema o engañe al servidor para que lo autentique sin credenciales válidas.

Se califica como alta (CVSS 8.3) porque se puede explotar de forma remota sin interacción del usuario ni autenticación previa.

¿Cuándo se descubrió?

La vulnerabilidad fue divulgada públicamente por Ivanti el 8 de febrero de 2024. Se descubrió durante la revisión interna de código y pruebas de Ivanti, motivada por el intenso escrutinio tras la explotación anterior de CVE-2023-46805 y CVE-2024-21887. También fue descubierta e informada de forma independiente por investigadores de seguridad de watchTowr.

Productos y versiones afectados

Si ejecutas una versión sin parchear de Ivanti Connect Secure, Policy Secure o ZTA, es probable que seas vulnerable.

Descripción técnica de CVE-2024-22024

La vulnerabilidad apunta específicamente a los endpoints SAML del dispositivo, como /dana-na/auth/saml-sso.cgi o /dana-ws/saml.ws.

En un ataque XXE estándar, el atacante inyecta una declaración que define una entidad externa que apunta a un archivo sensible (por ejemplo, /etc/passwd o un archivo de configuración).

En el caso de CVE-2024-22024, el analizador sintáctico XML vulnerable procesa esta entidad. Si bien los detalles completos sobre las capacidades exactas de lectura de archivos varían según la configuración, el riesgo principal es que el análisis exitoso de este XML malicioso permite al atacante engañar al componente SAML para que otorgue acceso a recursos restringidos que solo deberían estar disponibles para usuarios autenticados.

Es crucial señalar que esta vulnerabilidad eludió las mitigaciones XML iniciales publicadas por Ivanti a fines de enero de 2024, lo que hizo necesario un nuevo parche.

Tácticas, técnicas y procedimientos (TTPs)

Aunque no se observó explotación generalizada de inmediato al momento de la divulgación, la mecánica es similar a exploits anteriores de Ivanti.

• Reconocimiento: Los atacantes buscan la presencia de la página de inicio de sesión /dana-na/ y revisan el número de versión o encabezados de respuesta HTTP específicos para identificar dispositivos sin parchear.

• Explotación: El atacante envía una solicitud HTTP POST manipulada que contiene un payload SAMLRequest malicioso. Este payload incluye la definición XXE.

• Impacto:

• Divulgación de información: Lectura de archivos locales del sistema de archivos del dispositivo.

• Evasión de autenticación: Obtención de acceso a "recursos restringidos" internos, lo que potencialmente puede derivar en mayor compromiso o movimiento lateral.

• DoS: En algunos escenarios, XXE se puede usar para provocar una denegación de servicio (el ataque "Billion Laughs"), haciendo que el servicio SAML se bloquee.

Indicadores de compromiso

La detección implica buscar anomalías en los registros web y en el comportamiento del sistema.

• Registros web: Busca solicitudes HTTP POST a los endpoints SAML (/dana-na/auth/saml-sso.cgi, /dana-ws/saml.ws) que provengan de direcciones IP desconocidas o sospechosas.

• Firmas de payload: Si el registro completo de solicitudes está habilitado, busca etiquetas , ENTITY, o SYSTEM dentro del parámetro SAMLRequest decodificado.

• Registros de errores: Errores frecuentes de "SAML processing failed" o bloqueos del proceso saml-server (Event ID ERR31903) pueden indicar intentos de explotación fallidos.

Pruebas de concepto y exploits conocidos

Poco después de la divulgación se publicaron exploits de prueba de concepto (PoC). Investigadores de watchTowr demostraron cómo se podía explotar trivialmente la vulnerabilidad para acceder a endpoints internos.

Aunque no es tan devastadora de inmediato como las fallas de inyección de comandos (CVE-2024-21887), la disponibilidad del código PoC la convierte en una herramienta peligrosa para atacantes que buscan recuperar el acceso a redes de las que fueron expulsados previamente.

¿Cómo detectar la vulnerabilidad CVE-2024-22024?

• Verificación de versión: El método más confiable es verificar el número de compilación específico de tu dispositivo Ivanti contra la tabla de "Versiones corregidas" anterior.

• Herramienta de verificación de integridad (ICT): Ejecuta la herramienta externa Integrity Checker Tool de Ivanti. Aunque está diseñada principalmente para detectar modificaciones de archivos, puede ayudar a identificar artefactos dejados por atacantes que pudieron haber encadenado este exploit con otros.

• Detección administrada: Usa un servicio como Huntress Managed EDR para monitorear actividad sospechosa posterior a la explotación, como la generación inesperada de procesos o webshells, que son acciones comunes tras una evasión de autenticación.

Impacto y riesgo de la vulnerabilidad CVE-2024-22024

El riesgo es alto.

Para muchas organizaciones, el dispositivo VPN de Ivanti es la "puerta de entrada" a la red corporativa. Una evasión de autenticación aquí anula las contraseñas y la autenticación multifactor (MFA). Aunque este CVE en particular "solo" permita el acceso a recursos restringidos, a menudo es un trampolín que permite a los atacantes llegar a páginas internas de inicio de sesión, robar sesiones o aprovechar otras vulnerabilidades internas para obtener control total.

Estrategias de mitigación y remediación

• Aplica el parche de inmediato: Instala el parche específico publicado el 8 de febrero de 2024 (o posterior). Ten en cuenta que los parches publicados antes de esta fecha no corrigen CVE-2024-22024.

• Aplica mitigaciones: Si no puedes aplicar el parche de inmediato, aplica el archivo XML de mitigación actualizado proporcionado por Ivanti a través del portal de descargas. Este filtro bloquea el vector de ataque específico.

• Reduce la superficie de ataque: Asegúrate de que tu interfaz VPN no esté expuesta a toda Internet si es posible, restringiendo el acceso a regiones geográficas conocidas o rangos de IP de administración.