{"id":957028,"date":"2024-01-09T02:26:52","date_gmt":"2024-01-09T02:26:52","guid":{"rendered":"https:\/\/magazineoffice.com\/ivanti-advierte-sobre-una-vulnerabilidad-critica-en-su-popular-linea-de-software-de-proteccion-de-endpoints\/"},"modified":"2024-01-09T02:26:55","modified_gmt":"2024-01-09T02:26:55","slug":"ivanti-advierte-sobre-una-vulnerabilidad-critica-en-su-popular-linea-de-software-de-proteccion-de-endpoints","status":"publish","type":"post","link":"https:\/\/magazineoffice.com\/ivanti-advierte-sobre-una-vulnerabilidad-critica-en-su-popular-linea-de-software-de-proteccion-de-endpoints\/","title":{"rendered":"Ivanti advierte sobre una vulnerabilidad cr\u00edtica en su popular l\u00ednea de software de protecci\u00f3n de endpoints"},"content":{"rendered":"<p> <br \/>\n<\/p>\n<div itemprop=\"articleBody\">\n<figure class=\"intro-image intro-left\"><figcaption class=\"caption\"\/>  <\/figure>\n<aside id=\"social-left\" class=\"social-left\" aria-label=\"Read the comments or share this article\">\n<\/aside>\n<p><!-- cache hit 236:single\/related:f2b7513a2d91bca6a7542df7525e8ef5 --><!-- empty --><\/p>\n<p>El fabricante de software Ivanti insta a los usuarios de su producto de seguridad para terminales a parchear una vulnerabilidad cr\u00edtica que hace posible que atacantes no autenticados ejecuten c\u00f3digo malicioso dentro de las redes afectadas.<\/p>\n<p>La vulnerabilidad, en una clase conocida como inyecci\u00f3n SQL, reside en todas las versiones compatibles de Ivanti Endpoint Manager.  Tambi\u00e9n conocido como Ivanti EPM, el software se ejecuta en una variedad de plataformas, incluidas Windows, macOS, Linux, Chrome OS y dispositivos de Internet de las cosas, como enrutadores.  Las vulnerabilidades de inyecci\u00f3n SQL surgen de un c\u00f3digo defectuoso que interpreta la entrada del usuario como comandos de base de datos o, en t\u00e9rminos m\u00e1s t\u00e9cnicos, de la concatenaci\u00f3n de datos con c\u00f3digo SQL sin citar los datos de acuerdo con la sintaxis SQL.  CVE-2023-39336, como se rastrea la vulnerabilidad de Ivanti, tiene una calificaci\u00f3n de gravedad de 9,6 sobre 10 posibles.<\/p>\n<p>\u00abSi es explotado, un atacante con acceso a la red interna puede aprovechar una inyecci\u00f3n SQL no especificada para ejecutar consultas SQL arbitrarias y recuperar resultados sin necesidad de autenticaci\u00f3n\u00bb, escribieron los funcionarios de Ivanti el viernes en una publicaci\u00f3n anunciando la disponibilidad del parche.  \u201cEsto puede permitir al atacante controlar las m\u00e1quinas que ejecutan el agente EPM.  Cuando el servidor central est\u00e1 configurado para usar SQL express, esto podr\u00eda generar RCE en el servidor central\u201d.<\/p>\n<p>RCE es la abreviatura de ejecuci\u00f3n remota de c\u00f3digo o la capacidad de los atacantes externos de ejecutar el c\u00f3digo de su elecci\u00f3n.  Actualmente, no hay evidencia conocida de que la vulnerabilidad est\u00e9 bajo explotaci\u00f3n activa.<\/p>\n<p>Ivanti tambi\u00e9n ha publicado una divulgaci\u00f3n que est\u00e1 restringida \u00fanicamente a usuarios registrados.  Una copia obtenida por Ars dec\u00eda que Ivanti se enter\u00f3 de la vulnerabilidad en octubre.  La divulgaci\u00f3n privada en su totalidad es:<\/p>\n<aside class=\"ad_wrapper\" aria-label=\"In Content advertisement\">\n    <span class=\"ad_notice\">Anuncio <\/span>    <\/p>\n<\/aside>\n<figure class=\"image shortcode-img center large\" style=\"width:100%\"><img loading=\"lazy\" decoding=\"async\" src=\"https:\/\/cdn.arstechnica.net\/wp-content\/uploads\/2024\/01\/ivanti-private-disclosure-640x717.png\" width=\"640\" height=\"717\" srcset=\"https:\/\/cdn.arstechnica.net\/wp-content\/uploads\/2024\/01\/ivanti-private-disclosure.png 2x\"\/><figcaption class=\"caption\"\/><\/figure>\n<p>No est\u00e1 claro qu\u00e9 significa \u00abatacante con acceso a la red interna\u00bb.  Seg\u00fan la explicaci\u00f3n oficial del Sistema de puntuaci\u00f3n de vulnerabilidad com\u00fan, el c\u00f3digo que Ivanti utiliz\u00f3 en la divulgaci\u00f3n, AV:A, es la abreviatura de \u00abVector de ataque: Adyacente\u00bb.  El sistema de puntuaci\u00f3n lo defini\u00f3 como:<\/p>\n<blockquote>\n<p>El componente vulnerable est\u00e1 vinculado a la pila de red, pero el ataque se limita a nivel de protocolo a una topolog\u00eda l\u00f3gicamente adyacente.  Esto puede significar que un ataque debe lanzarse desde la misma red f\u00edsica o l\u00f3gica compartida (por ejemplo, subred IP local)&#8230;<\/p>\n<\/blockquote>\n<p>En un hilo sobre Mastodon, varios expertos en seguridad ofrecieron interpretaciones.  Una persona que pidi\u00f3 no ser identificada expl\u00edcitamente por su nombre, empresa o puesto ocupacional, escribi\u00f3:<\/p>\n<blockquote>\n<p>Todo lo dem\u00e1s sobre la vulnerabilidad. [besides the requirement of access to the network] es grave:<\/p>\n<ul>\n<li aria-level=\"1\">La complejidad del ataque es baja.<\/li>\n<li aria-level=\"1\">Privilegios no requeridos<\/li>\n<li aria-level=\"1\">No es necesaria la interacci\u00f3n del usuario<\/li>\n<li aria-level=\"1\">Se modifica el alcance del impacto posterior en otros sistemas.<\/li>\n<li aria-level=\"1\">El impacto en la confidencialidad, la integridad y la disponibilidad es alto<\/li>\n<\/ul>\n<\/blockquote>\n<p style=\"text-align: center;\"><iframe class=\"mastodon-embed\" style=\"max-width: 100%; border: 0;\" src=\"https:\/\/infosec.exchange\/@simontsui\/111704689111208567\/embed\" width=\"640\" allowfullscreen=\"allowfullscreen\"><span data-mce-type=\"bookmark\" style=\"display: inline-block; width: 0px; overflow: hidden; line-height: 0;\" class=\"mce_SELRES_start\">\ufeff<\/span><\/iframe><\/p>\n<p>Reid Wightman, investigador especializado en seguridad de sistemas de control industrial en Dragos, proporcion\u00f3 este an\u00e1lisis:<\/p>\n<blockquote>\n<p>Especulaci\u00f3n, pero parece que Ivanti est\u00e1 aplicando incorrectamente CVSS y la puntuaci\u00f3n posiblemente deber\u00eda ser 10,0.<\/p>\n<p>Dicen AV:A (que significa \u00abse requiere acceso a la red adyacente\u00bb).  Por lo general, esto significa que se cumple una de las siguientes condiciones: 1) el protocolo de red vulnerable no es enrutable (esto generalmente significa que no es un protocolo basado en IP el que es vulnerable), o 2) la vulnerabilidad es realmente una persona en el -ataque intermedio (aunque esto generalmente tambi\u00e9n tiene AC:H, ya que una persona en el medio requiere alg\u00fan acceso existente a la red para poder lanzar el ataque) o 3) (lo que creo), el proveedor est\u00e1 equivocado -aplicar CVSS porque creen que su servicio vulnerable no deber\u00eda estar expuesto, es decir, \u00ablos usuarios finales deber\u00edan tener un firewall instalado\u00bb.<\/p>\n<p>La suposici\u00f3n de que el atacante debe ser interno tendr\u00eda un modificador CVSS de PR:L o PR:H (privilegios requeridos en el sistema), o UI:R (enga\u00f1ar a un usuario leg\u00edtimo para que haga algo que no deber\u00eda).  La suposici\u00f3n de que el atacante tiene alg\u00fan otro acceso existente a la red deber\u00eda agregar AC:H (complejidad del ataque alta) a la puntuaci\u00f3n.  Ambos reducir\u00edan la puntuaci\u00f3n num\u00e9rica.<\/p>\n<p>He tenido muchas discusiones con proveedores que argumentan (3), espec\u00edficamente, \u00abnadie deber\u00eda exponer el servicio, por lo que en realidad no es AV:N\u00bb.  Pero CVSS no representa una \u00abbuena arquitectura de red\u00bb.  Solo le importa la configuraci\u00f3n predeterminada y si el ataque se puede lanzar desde una red remota&#8230; no considera las reglas de firewall que la mayor\u00eda de las organizaciones deber\u00edan tener implementadas, en parte porque siempre se encuentran contraejemplos en los que el servicio est\u00e1 expuesto a Internet. .  Casi siempre puedes encontrar contraejemplos en Shodan y similares.  Muchos \u00abAdministradores de servicios Ivanti\u00bb expuestos en Shodan, por ejemplo, aunque no estoy seguro de si este es el servicio vulnerable real.<\/p>\n<\/blockquote>\n<p style=\"text-align: center;\"><iframe class=\"mastodon-embed\" style=\"max-width: 100%; border: 0;\" src=\"https:\/\/infosec.exchange\/@reverseics\/111704692715024146\/embed\" width=\"640\" allowfullscreen=\"allowfullscreen\"><span data-mce-type=\"bookmark\" style=\"display: inline-block; width: 0px; overflow: hidden; line-height: 0;\" class=\"mce_SELRES_start\">\ufeff<\/span><\/iframe><\/p>\n<aside class=\"ad_wrapper\" aria-label=\"In Content advertisement\">\n    <span class=\"ad_notice\">Anuncio <\/span>    <\/p>\n<\/aside>\n<p>Un tercer participante, Ron Bowes de Skull Security, escribi\u00f3: \u201cLos proveedores, especialmente Ivanti, tienen la costumbre de restar importancia a las cuestiones de seguridad.  Piensan que hacer que parezca que la vulnerabilidad es menos mala los hace lucir mejor, cuando en realidad solo hace que sus clientes est\u00e9n menos seguros.  Eso es un gran motivo de preocupaci\u00f3n.  No voy a juzgar a los proveedores por tener una vulnerabilidad, pero s\u00ed por manejarla mal\u201d.<\/p>\n<p style=\"text-align: center;\"><iframe class=\"mastodon-embed\" style=\"max-width: 100%; border: 0;\" src=\"https:\/\/infosec.exchange\/@iagox86\/111705251611827671\/embed\" width=\"640\" allowfullscreen=\"allowfullscreen\"><span data-mce-type=\"bookmark\" style=\"display: inline-block; width: 0px; overflow: hidden; line-height: 0;\" class=\"mce_SELRES_start\">\ufeff<\/span><\/iframe><\/p>\n<p>Los representantes de Ivanti no respondieron a las preguntas enviadas por correo electr\u00f3nico.<\/p>\n<p>Poner los dispositivos que ejecutan Ivanti EDM detr\u00e1s de un firewall es una buena pr\u00e1ctica y contribuir\u00e1 en gran medida a mitigar la gravedad de CVE-2023-39336, pero probablemente no har\u00eda nada para evitar que un atacante que haya obtenido acceso limitado a la estaci\u00f3n de trabajo de un empleado explote la vulnerabilidad cr\u00edtica.  No est\u00e1 claro si la vulnerabilidad ser\u00e1 objeto de explotaci\u00f3n activa, pero el mejor curso de acci\u00f3n es que todos los usuarios de Ivanti EDM instalen el parche lo antes posible.<\/p>\n<\/p><\/div>\n<p><br \/>\n<br \/><a href=\"https:\/\/magazineoffice.com\/\">Source link-49<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>El fabricante de software Ivanti insta a los usuarios de su producto de seguridad para terminales a parchear una vulnerabilidad cr\u00edtica que hace posible que atacantes no autenticados ejecuten c\u00f3digo&hellip;<\/p>\n","protected":false},"author":1,"featured_media":874643,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[21980],"tags":[8313,2349,113561,102145,253,573,2125,15,6877,73,31323],"_links":{"self":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts\/957028"}],"collection":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/comments?post=957028"}],"version-history":[{"count":1,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts\/957028\/revisions"}],"predecessor-version":[{"id":957029,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/posts\/957028\/revisions\/957029"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/media\/874643"}],"wp:attachment":[{"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/media?parent=957028"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/categories?post=957028"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/magazineoffice.com\/wp-json\/wp\/v2\/tags?post=957028"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}