Milhares de dispositivos Ivanti VPN afetados por vulnerabilidade recente

Os investigadores da Shadowserver Foundation identificaram milhares de dispositivos Ivanti VPN expostos à Internet que, provavelmente, foram afetados por uma vulnerabilidade recentemente divulgada, podendo levar à execução remota de código.

Com o código de rastreio CVE-2024-21894 (CVSS 8.2), a falha é descrita como um bug de heap overflow no componente IPSec do Ivanti Connect Secure, anteriormente Pulse Connect Secure, e Policy Secure. A vulnerabilidade pode ser explorada por cibercriminosos não autenticados remotamente para causar uma condição de ataque de negação de serviço (DoS) ou executar código arbitrário.

No dia 2 de abril, a Ivanti lançou atualizações de software para corrigir a falha em questão e três outras vulnerabilidades nos seus dois dispositivos VPN, nomeadamente a CVE-2024-22053, um outro bug de heap overflow de alta gravidade que pode conduzir ao DoS.

Todas as versões suportadas do Connect Secure e do Policy Secure são afetadas pela vulnerabilidade. A empresa já alertou os seus utilizadores para atualizarem as suas instâncias, reforçando que não estava ciente da exploração destas falhas no momento da sua divulgação.

Três dias depois, no dia 5, a equipa de investigação da ShadowServer, que realiza scans diariamente na Internet para identificar dispositivos vulneráveis e explorados, afirmou que descobriu mais de 16 mil instâncias da Ivanti VPN potencialmente afetadas pelo bug CVE-2024-21894.

No domingo passado, os dados da ShadowServer evidenciam cerca de 10 mil instâncias da Ivanti Connect Secure e Policy Secure acessíveis pela Internet que estão vulneráveis à falha em questão.

De acordo com os investigadores, a maioria dos equipamentos está nos Estados Unidos (3.700) e no Japão (1.700), seguindo-se o Reino Unido (860), França (710), Alemanha (570), China (440), Canadá (300) e Índia (290).

Recentemente, a Ivanti foi alvo de diversos ataques de zero-day que levaram à desorganização das suas equipas de resposta de segurança, forçando o governo norte-americano a emitir instruções de desconexão. A empresa afirma agora que está a iniciar uma reestruturação da cibersegurança de toda a organização.