13000多个Ivanti终端易受安全漏洞的影响
内容提要
数千个Ivanti Connect Secure和Policy Secure终端存在多个安全漏洞，供应商已逐步修复。漏洞严重程度不同，包括身份验证绕过、服务器端请求伪造、任意命令执行和命令注入问题。已有报告称有国家支持的威胁行为者利用了一些漏洞。供应商建议立即应用安全更新或缓解措施。
延伸解读
漏洞披露节奏与修复压力
Ivanti产品漏洞在短时间内被连续披露，从2024年1月10日的零日漏洞到2月8日的CVE-2024-22024，管理员几乎没有时间准备和部署补丁。这种密集披露不仅增加了修复工作的复杂性，还使系统长期处于脆弱状态，为威胁行为者提供了大量潜在目标。
未修补终端的暴露风险
截至2024年2月15日，仍有13636台Ivanti服务器未应用针对四个漏洞的补丁，超过暴露在互联网上的Ivanti服务器总数的一半。此外，5496台服务器仍受CVE-2024-22024影响，其中美国数量最多。这些未修补终端极易被攻击者利用，导致数据泄露或系统控制权丧失。
活跃扫描与利用迹象
Akamai报告显示，针对CVE-2024-22024的扫描活动在2024年2月11日达到24万个请求和80个IP尝试发送有效载荷。虽然尚未确认活跃利用，但国家支持的威胁行为者已利用过其他漏洞。这种扫描行为表明攻击者正在积极寻找未修补系统，管理员需警惕潜在入侵。
Q&A
Ivanti Connect Secure和Policy Secure终端目前存在哪些安全漏洞？
影响终端的漏洞包括CVE-2024-22024、CVE-2023-46805、CVE-2024-21887、CVE-2024-21893和CVE-2024-21888。这些漏洞的严重程度从高到关键不等，涉及身份验证绕过、服务器端请求伪造、任意命令执行和命令注入问题。
CVE-2024-22024漏洞是什么？它有什么危害？
CVE-2024-22024是Ivanti Connect Secure、Policy Secure和ZTA网关的SAML组件中的一个XXE漏洞，它允许威胁行为者在未授权的情况下访问受限资源。
目前有多少Ivanti终端仍然容易受到CVE-2024-22024漏洞的攻击？
根据Shadowserver的报告，其互联网扫描显示有3900多个Ivanti终端易受到CVE-2024-22024漏洞攻击，其中大多数（1262个）终端位于美国。
Ivanti服务器打补丁的情况如何？
根据安全研究员Yutaka Sejiyama的Shodan扫描结果，截至2024年2月15日00:15 UTC，共有13636台Ivanti服务器还未应用针对CVE-2024-21893、CVE-2024-21888、CVE-2023-46805和CVE-2024-21887的补丁。共有24239台Ivanti服务器暴露在互联网上，这意味着超过一半的服务器依然没有打补丁。关于CVE-2024-22024，截至2月15日，全球有77.3%的服务器已经打上了补丁，但仍有5496台服务器暴露于这个危险的未授权访问漏洞之下。
这些漏洞是否已被威胁行为者利用？
是的，已有报告称一些漏洞被国家支持的威胁行为者所利用。Akamai的报告提到，已经针对CVE-2024-22024漏洞发起扫描，2024年2月11日有24万个请求和80个IP尝试发送有效载荷。
针对这些漏洞，Ivanti提供了哪些修复措施？
供应商已逐步修复漏洞，并建议如果没有补丁可用，那么立即应用现有的安全更新或缓解措施至关重要。2024年1月31日，Ivanti针对CVE-2024-21893、CVE-2024-21888、CVE-2023-46805和CVE-2024-21887这4个漏洞发布了安全更新版本。CVE-2024-22024在2024年2月8日被披露并得到修复。
