Des failles zero-day dans Ivanti Connect Secure permettent un accès root via une chaîne d'exploits

Des chercheurs en sécurité ont identifié une campagne d'exploitation active ciblant les appliances VPN Ivanti Connect Secure. Le 13 octobre, la société de sécurité Volexity a signalé qu'un attaquant avait chaîné trois vulnérabilités zero-day pour exécuter des commandes en tant qu'utilisateur root sans authentification. Bien qu'Ivanti ait publié des correctifs pour deux de ces failles, le correctif pour la troisième reste indisponible, laissant certains systèmes vulnérables malgré les mises à jour.

Ce qui s'est passé

Volexity a découvert l'attaque sur l'appliance d'un client qui exécutait la version 22.8R2.4. Bien que cette version soit considérée comme entièrement patchée à ce moment-là, l'attaquant, suivi sous la référence UTA0576, a commencé à exploiter le système le 3 octobre. La chaîne d'attaque implique deux failles initiales, suivies ensemble sous la référence CVE-2026-104935, qui incluent une contournement de l'authentification et une vulnérabilité d'exécution de code à distance. Celles-ci permettent à un attaquant d'exécuter du code en tant qu'utilisateur cgi-server. Une troisième faille, une vulnérabilité d'élévation de privilèges, élève ensuite ces permissions vers un accès root.

Ivanti a reconnu une exploitation limitée dans la nature et a exhorté les clients à agir immédiatement. L'entreprise a publié des correctifs pour les composants de contournement de l'authentification et d'exécution de code à distance dans la version 25.1.3.0, datée de juillet 2026. Cependant, la faille d'élévation de privilèges reste non corrigée, Volexity indiquant qu'un correctif arrivera dans une future release dans les semaines à venir. Il est actuellement unclear quel risque pose la faille restante si les deux premières sont déjà mitigées.

La méthode d'attaque est particulièrement furtive. Volexity a noté que l'Integrity Checker Tool d'Ivanti ne parvient pas à détecter cette chaîne d'exploitation spécifique car l'attaquant modifie le code de la bibliothèque uniquement en mémoire et restaure les données de configuration après usage. Cela signifie que les vérifications d'intégrité standard peuvent retourner des résultats propres même lorsque le système est compromis. Confirmer une violation nécessite une investigation forensique approfondie, incluant l'analyse réseau et mémoire, plutôt que de se fier uniquement aux outils automatisés.

Détails clés

• Versions affectées : Les versions Connect Secure antérieures à 25.1.3.0 sont affectées, à l'exception de la version 22.7R2.14 et des précédentes, qui sont listées comme non affectées.
• Versions patchées : Les versions 22.8R2.5, 25.1.3.0 et 25.1.3.1 sont listées comme non affectées par l'enregistrement initial de la CVE.
• Exploitation active : L'agence américaine de cybersécurité et d'infrastructure (CISA) marque l'exploitation comme active avec un impact technique total.
• Techniques furtives : L'attaquant relance toute la chaîne d'exploitation pour chaque commande et ne laisse aucune porte dérobée ni web shell, rendant la détection difficile.
• Vol de données : Dans l'incident investigué, l'attaquant a volé des identifiants de domaine LDAP et a effectué des attaques par bourrage de mots de passe contre les comptes Active Directory.
• Autres vulnérabilités : Ivanti a également corrigé des failles critiques dans Xtraction (CVE-2026-106042) et Neurons Patch for Intune (CVE-2026-109412), bien qu'aucune exploitation n'ait été signalée pour celles-ci.

Contexte

Les vulnérabilités zero-day sont des failles de sécurité inconnues du fournisseur et pour lesquelles aucun correctif n'est disponible au moment de leur découverte. Lorsque les attaquants chaînent plusieurs zero-days, ils peuvent contourner les défenses en couches qui pourraient arrêter un seul exploit. Dans ce cas, la chaîne va du contournement de l'authentification à l'exécution de code, puis à l'obtention d'un contrôle administratif complet. Cette progression est dangereuse car elle permet à un attaquant d'opérer avec le plus haut niveau de privilèges sur l'appliance réseau.

L'élévation de privilèges est un objectif courant dans ce type d'attaques. Une fois qu'un attaquant obtient un point d'appui avec des permissions limitées, il cherche à élever son statut vers root ou administrateur. Cela lui donne la capacité de modifier les configurations système, d'installer des malwares persistants ou d'accéder à des magasins de données sensibles comme les bases de données d'identifiants. Le fait que cet exploit spécifique opère en mémoire le rend plus difficile à détecter avec la surveillance traditionnelle de l'intégrité des fichiers, qui vérifie généralement les changements sur disque plutôt que dans la RAM active.

Pourquoi c'est important

Pour les équipes gérant leur propre infrastructure d'accès à distance, cet incident met en lumière les limites de la dépendance exclusive aux outils d'intégrité fournis par le vendeur. Si votre organisation utilise Ivanti Connect Secure, le simple fait d'exécuter l'Integrity Checker Tool peut donner un faux sentiment de sécurité. La nature furtive de cette attaque signifie que les systèmes compromis peuvent continuer à fonctionner normalement pendant que les attaquants exfiltrent des identifiants. Ceci est particulièrement risqué pour les organisations qui stockent des identifiants LDAP ou Active Directory sur l'appliance, car ceux-ci peuvent être utilisés pour pivoter plus profondément dans le réseau d'entreprise.

Le retard dans le patching de la troisième vulnérabilité crée une fenêtre d'incertitude. Même si vous effectuez une mise à niveau vers la dernière version pour corriger les deux premières failles, le vecteur d'élévation de privilèges reste ouvert jusqu'à la prochaine release. Cela oblige les responsables IT à équilibrer l'urgence d'appliquer les correctifs disponibles face au risque de l'exposition restante. Cela souligne également le besoin de capacités robustes de surveillance réseau et de forensic, car les alertes automatisées peuvent ne pas se déclencher lors de la compromission initiale.

Ce que vous pouvez faire

• Mettez à jour immédiatement : Si vous êtes sur une version affectée, effectuez une mise à niveau vers 25.1.3.0 ou ultérieure pour patcher les failles de contournement de l'authentification et d'exécution de code à distance.
• Surveillez les IOCs : Vérifiez vos logs pour des volumes élevés de requêtes vers /dana-na/auth/url_default/welcome.cgi avec des en-têtes X-DSCGI-PATH non correspondants.
• Recherchez des répertoires suspects : Recherchez la présence du répertoire /data/.icscap/, qui a été utilisé dans l'incident investigué.
• Bloquez les IP malveillantes connues : Envisagez de bloquer l'IP 108.165.147[.]64 sur votre pare-feu si elle apparaît dans vos logs de trafic.
• Effectuez une analyse forensique : Ne vous fiez pas uniquement à l'Integrity Checker Tool ; effectuez des analyses forensiques mémoire et réseau si vous suspectez une compromission.
• Faites tourner les identifiants : Si vous suspectez une exposition, faites tourner immédiatement les mots de passe LDAP et Active Directory pour prévenir les attaques par bourrage de mots de passe.