Attacker Chains Three Ivanti Connect Secure Zero-Days for Root Access, Only Two Patched So Far
The Hacker News · 13 oct, 19:33
Qué hacer: Actualiza Ivanti Connect Secure a versión 25.1.3.0 o posterior de inmediato.
Ivanti Connect Secure sufre una cadena de tres zero-days que permiten acceso root sin autenticación. Un atacante rastreado como UTA0576 ha explotado activamente estas vulnerabilidades en clientes completamente parcheados, robando credenciales. Ivanti ha lanzado fixes para dos de los tres flaws; el tercero aún está pendiente.
La cadena de ataques combina dos flaws (CVE-2026-104935): un bypass de autenticación y un RCE que ejecutan código como usuario cgi-server, seguidos de un escalado de privilegios a root que aún carece de parche. El atacante UTA0576 explotó estas vulnerabilidades a partir del 3 de octubre en un cliente cuyo appliance estaba completamente actualizado en la versión 22.8R2.4, robando credenciales LDAP y realizando ataques de password-spraying contra Active Directory sin dejar backdoor ni web shell.
Afecta a Connect Secure antes de versión 25.1.3.0, con excepciones en 22.7R2.14 o anterior y 25.1.3.1. La explotación es activa según CISA, con CVSS 8.6. Ivanti advierte a clientes afectados que actúen inmediatamente. El Integrity Checker Tool de Ivanti no detecta esta cadena porque el exploit modifica código de librerías solo en memoria y restaura configuración alterada. Indicadores de compromiso incluyen requests en gran número a /dana-na/auth/url_default/welcome.cgi con header X-DSCGI-PATH anómalo, directorio /data/.icscap/ y la IP 108.165.147.64.
Puntos clave
- Afecta a Connect Secure antes de versión 25.1.3.0; no afecta a 22.7R2.14 o anterior
- Actualizar a 25.1.3.0 o posterior cierra los dos flaws ya parcheados; el escalado de privilegios espera fix en próximas semanas
- El Integrity Checker Tool no detecta esta cadena por su técnica en memoria
- Indicadores: requests a /dana-na/auth/url_default/welcome.cgi con X-DSCGI-PATH inconsistente