CISA KEV: Ivanti potřebuje další opravy

Dvě další chyby v Ivanti Connect Secure umožňují dokončit řetězec útoku, který vede až k převzetí VPN brány. Organizace, které nasadily první říjnovou opravu, musí zkontrolovat i nové aktualizace a při podezření na napadení prověřit přihlašovací údaje dostupné z brány.

CISA zařadila 30. října do katalogu KEV zranitelnosti CVE-2026-118527 a CVE-2026-111357. Obě souvisejí s útoky na Connect Secure, při nichž se kombinují s dříve zpracovanou chybou CVE-2026-104935 pro obejití autentizace. Ivanti první opravu zveřejnilo 13. října; další dvě chyby odstranilo aktualizacemi oznámenými 29. října. Nejde tedy o opakování původní zprávy, ale o doplnění dalších částí stejné útokové cesty a odpovídajících oprav.

CVE-2026-118527 spočívá v předvídatelných názvech souborů. Vzdálený autentizovaný útočník může uložit vlastní obsah na známé místo na disku. Ivanti hodnotí tuto samostatnou chybu skóre CVSS 3.0 4,3. Ve spojení s dalšími slabinami je však dopad výrazně závažnější: podle rozboru Volexity se nahraný obsah zapisoval ještě před ověřením jeho platnosti. Krátký interval před jeho odstraněním útočníkům umožnil obsah spustit.

CVE-2026-111357 následně dovoluje místnímu autentizovanému útočníkovi zvýšit oprávnění. Služba dsinvoked, která provádí údržbu s právy root, nesprávně důvěřuje konfiguračním údajům DSCache. Po jejich změně může spustit útočníkův program s nejvyššími právy. Výrobce uvádí CVSS 3.1 8,8; záznam MITRE převzatý v NVD uvádí CVSS 3.1 7,0 s jiným hodnocením složitosti útoku a rozsahu dopadu. Požadavek předchozího přístupu u jednotlivých chyb přitom neznamená, že jej potřebuje celý řetězec: první chyba jej útočníkovi zajistí bez přihlášení.

Volexity ve zprávě zveřejněné 13. října popsalo útoky pozorované od 3. října na tehdy plně aktualizovanou bránu. Útočníci získávali údaje uložené v zařízení, včetně doménových přihlašovacích údajů pro LDAP. Přes napadený servisní účet také hledali v Active Directory hesla místních administrátorů spravovaná pomocí LAPS, obnovovací údaje BitLockeru a další citlivé atributy. Napadení VPN brány tak mohlo otevřít cestu k dalším částem infrastruktury, nikoli pouze k provozu samotné VPN.

Ilustrační mechanismus třídění dokumentů s narušenou cestou

Pro obě nově zařazené chyby uvádí Ivanti jako dotčené verze 25.1.1.2 a starší a 22.8R2.5 a starší. Opravy jsou ve verzích 25.1.1.3 a 22.8R2.6. Výrobce doporučuje z větve 22.8 přejít na 25.1.1.3 nebo novější; pokud okamžitý přechod není možný, 22.8R2.6 opravuje všechny chyby tohoto oznámení. Samotná instalace 22.8R2.5 nebo 25.1.1.2 tedy odstranila první známou cestu útoku, ale ponechala další slabiny. Větev 25.1.3.0 a novější podle Ivanti tuto zranitelnost neobsahuje; volba cílové verze a migrace závisí také na platformě zařízení. Podpora větve 22.8 končí 31. ledna 2027.

Kontrola integrity bez nálezu není důkazem, že zařízení nebylo napadeno. Volexity popsalo provádění příkazů a vracení výsledků přímo prostřednictvím exploitujících požadavků HTTPS, bez zjištěného webshellu umožňujícího další přístup. Část změn probíhala jen v paměti a útočný kód obnovoval konfiguraci i odstraňoval stopy v protokolech. CISA proto upozorňuje, že k odhalení kompromitace může být nutná síťová a paměťová forenzní analýza.

Při podezření na napadení CISA doporučuje po záloze konfigurace obnovit zařízení do továrního nastavení a aktualizovat je; virtuální či cloudovou instanci znovu vybudovat. Součástí obnovy má být také změna hesel účtů, odvolání a nové vydání uložených certifikátů a výměna uložených API i licenčních přístupových údajů. Aktualizace uzavírá zranitelnosti, ale sama nezneplatní údaje, které už útočník získal.