Cloudflare的AI WAF如何主动检测Ivanti Connect Secure的关键零日漏洞
内容提要
Cloudflare使用AI主动解决漏洞并保护免受威胁。他们最近应对了CVE-2023-46805和CVE-2024-21887的风险，这可能导致未经授权访问和控制受影响的系统。这些漏洞涉及身份验证绕过和命令注入。Cloudflare的WAF攻击分数和紧急规则有效地减轻了这些威胁。攻击分数提供了一个指示请求恶意程度的分数，紧急规则则阻止了利用漏洞的尝试。Cloudflare在网络安全方面的积极态度展示了强大的安全措施和持续监控的重要性。
延伸解读
漏洞利用的技术细节
文章详细分析了CVE-2023-46805和CVE-2024-21887的利用方式。攻击者通过目录遍历绕过身份验证，访问受保护的端点，并注入命令执行反向shell。具体来说，攻击者构造特制请求，利用node_name参数注入命令，或通过JSON结构触发命令注入。这些技术细节揭示了漏洞的严重性，可能导致系统被完全控制。
Cloudflare的主动防御机制
Cloudflare的WAF Attack Score利用AI为每个请求评分，范围1到99，分数越低越恶意。低于20通常被视为恶意。在示例中，攻击请求的全局分数为19，被归类为恶意。企业版和商业版客户在漏洞公布前就已受到保护，因为他们启用了攻击分数并配置了阻止低分请求的规则。这体现了主动防御的优势。
紧急规则部署与影响
Cloudflare在2024年1月17日，即概念验证公开后24小时内，发布了紧急规则，专门阻止针对Ivanti漏洞的利用尝试。这些规则属于托管规则的一部分，自部署以来已触发超过180,000次，显示了攻击的活跃程度。这强调了快速响应和持续监控的重要性，同时也提醒组织及时更新规则以保持保护。
对组织的建议
文章建议使用Cloudflare服务的组织确保系统更新最新规则和配置，并部署基于攻击分数的规则以提升安全态势。这包括启用WAF Attack Score并设置适当的阻止阈值。通过这样做，组织可以更好地防御类似漏洞，减少潜在风险。
Q&A
Cloudflare的AI WAF如何主动检测Ivanti Connect Secure的零日漏洞？
Cloudflare的WAF Attack Score利用AI为每个请求分配1到99的分数，分数越低表示请求越恶意（通常低于20视为恶意）。通过分析请求的XSS、SQLi和RCE等攻击类别，AI模型能在漏洞公布前识别出利用尝试，例如对CVE-2023-46805和CVE-2024-21887的利用请求被赋予低分，从而触发拦截。
CVE-2023-46805和CVE-2024-21887漏洞的具体危害是什么？
CVE-2023-46805是一个身份验证绕过漏洞，CVE-2024-21887是一个命令注入漏洞，两者结合可导致攻击者未经授权访问并控制受影响的Ivanti系统。攻击者可通过目录遍历绕过认证，并注入命令执行反向shell，从而完全控制目标系统。
攻击者如何利用这些漏洞进行攻击？
攻击者可以发送特制请求，利用目录遍历（如/api/v1/totp/user-backup-code/../../license/keys-status/）绕过认证，并在node_name参数或JSON负载中注入命令，例如Python反向shell，从而在目标系统上执行任意命令。
Cloudflare的WAF攻击分数是如何工作的？
WAF攻击分数由AI模型生成，范围1到99，分数越低表示请求越恶意。它包含三个子分数（分别对应XSS、SQLi和RCE等类别）和一个全局分数。全局分数综合子分数，若请求匹配特定攻击类别，则相应子分数会影响全局分数。通常分数低于20被视为恶意。
Cloudflare针对这些漏洞采取了哪些紧急响应措施？
Cloudflare于2024年1月17日发布了紧急规则，命名为“Ivanti - Auth Bypass, Command Injection - CVE:CVE-2023-46805, CVE:CVE-2024-21887”，默认动作为阻止。这些规则在概念验证公开后24小时内发布，并已触发超过180,000次，有效阻止了漏洞利用尝试。
使用Cloudflare服务的企业应如何保持最佳防护？
组织应确保系统更新到最新的规则和配置，并建议部署使用Attack Score的规则以提升安全态势。企业和商业计划客户在漏洞公布前已受到保护，但持续更新和监控至关重要。
