Vulnerabilità critica identificata nel core obsoleto di Ivanti MobileIron

Ivanti ha recentemente rivelato un difetto di sicurezza urgente (CVE-2023-35082) nella sua soluzione ormai defunta nota come MobileIron Core, che da allora è stata trasformata in Ivanti Endpoint Manager Mobile (EPMM). Nonostante la vulnerabilità sia stata incidentalmente riparata in MobileIron Core 11.3 a causa di una correzione di bug del prodotto non correlata, la minaccia non era stata rilevata in precedenza, ha rivelato Ivanti.

Dettagli della vulnerabilità CVE-2023-35082

CVE-2023-35082 consente l'accesso remoto non autorizzato alle API, che potrebbe potenzialmente consentire agli utenti non autorizzati di raccogliere informazioni di identificazione personale e apportare modifiche all'interno del server. Questa vulnerabilità si trova nello stesso dominio di CVE-2023-35078 e, secondo Stephen Fewer, ricercatore principale di Rapid7, dovrebbe essere considerata come un bypass di patch per detta vulnerabilità, in particolare relativa alla versione del prodotto 11.2 o precedente.

La risposta e le soluzioni di Ivanti per i clienti interessati

MobileIron Core v11.2 non è più supportato dal 15 marzo 2022 e non verrà rilasciata una patch per esso o per le versioni precedenti. Ivanti ha dichiarato di aiutare attivamente i propri clienti nell'aggiornamento all'ultima versione di Ivanti EPMM o nel passaggio a Ivanti Neurons per MDM, il loro prodotto basato su cloud. Per ulteriore assistenza, Rapid7 ha offerto tecniche che dimostrano come hanno scoperto e confermato la vulnerabilità, fornendo anche indicatori di violazione per i cacciatori di minacce aziendali.

Implicazioni e conseguenze per Ivanti EPMM

È stato scoperto che la vulnerabilità CVE-2023-35078, un problema di accesso API remoto simile, combinata con CVE-2023-35081, una vulnerabilità di scrittura di file remota non controllata, è stata utilizzata per infiltrarsi in 12 dipartimenti governativi norvegesi. Il CVE-2023-35082 identificato di recente, come il suo predecessore CVE-2023-35078, apre la porta a utenti remoti non autenticati che accedono agli endpoint API di un server di gestione esposto ed eseguono varie operazioni. Più preoccupante, se è presente un altro difetto, un utente malintenzionato potrebbe sfruttarlo insieme a CVE-2023-35082. Ad esempio, l'accoppiamento di CVE-2023-35082 e CVE-2023-35081 potrebbe consentire a un utente malintenzionato di creare file webshell dannosi, che potrebbero essere successivamente attivati da loro, ha dichiarato Fewer.