最新的 Ivanti SSRF 零日漏洞正在被大规模利用
内容提要
Ivanti Connect Secure和Ivanti Policy Secure服务器端请求伪造漏洞被大规模利用，威胁攻击者可对易受攻击的设备进行未经验证的访问。美国CISA已断开所有Ivanti Connect Secure和Policy Secure VPN设备的连接。
延伸解读
漏洞利用规模与攻击者动向
Shadowserver 监测到 170 个不同 IP 地址尝试利用 CVE-2024-21893，利用量远超近期其他 Ivanti 漏洞，表明攻击者重点可能已转向该 SSRF 漏洞。Rapid7 发布 PoC 前数小时，攻击者就已开始利用，说明其早已掌握利用方法，能对易受攻击的 Ivanti 端点进行未经验证的访问。
暴露面与受影响范围的不确定性
目前约有 22500 台 Ivanti Connect Secure 设备暴露在互联网上，但具体有多少设备受 CVE-2024-21893 影响尚不明确。该漏洞影响 9.x 和 22.x 版本，攻击者可绕过身份验证访问受限资源。暴露数量大且版本信息不清，意味着实际风险可能被低估。
CISA 强制断连的应对逻辑
鉴于多个关键零日漏洞正被大规模利用、缺乏有效缓解措施，且部分受影响版本无安全更新，CISA 下令联邦机构断开所有 Ivanti Connect Secure 和 Policy Secure VPN 设备。设备需经出厂重置并升级到最新固件后才能重新接入网络，这反映出漏洞严重性已超出常规补丁修复的应对范围。
Q&A
Ivanti SSRF 零日漏洞的 CVE 编号是什么？
CVE-2024-21893。
这个漏洞影响哪些 Ivanti 产品？
Ivanti Connect Secure 和 Ivanti Policy Secure。
攻击者利用这个漏洞能做什么？
攻击者可以绕过身份验证，访问易受攻击设备上的受限资源。
目前有多少 IP 地址尝试利用这个漏洞？
截至 2024 年 2 月 2 日，有 170 个不同的 IP 地址试图利用 CVE-2024-21893 漏洞。
CISA 针对这个漏洞采取了什么措施？
CISA 已下令联邦机构断开所有 Ivanti Connect Secure 和 Policy Secure VPN 设备的连接，只有经过出厂重置并升级到最新固件版本的设备才能重新连接。
Ivanti 还发布了哪些其他漏洞的补丁？
Ivanti 还发布了影响同一产品的另外两个零日漏洞（CVE-2023-46805 和 CVE-2024-21887）的安全更新补丁。
