Ivanti corrige le deuxième zéro EPMM

Ivanti a publié un correctif pour corriger une deuxième vulnérabilité critique de type Zero Day qui serait activement attaquée.

Le fournisseur a déclaré que pour les clients exécutant Endpoint Mobile Manager, le correctif du lundi pour CVE-2023-35081 est une mise à jour « critique » qui doit être appliquée dès que possible.

Cette mise à jour est le deuxième correctif d'urgence d'Ivanti ces derniers jours et fait suite à des rapports selon lesquels deux EPMM zéro jour auraient été exploités pour des attaques contre le gouvernement norvégien.

À première vue, CVE-2023-35081 ne semble pas être une vulnérabilité extrêmement grave avec une note CVSS de 7,2. La faille de traversée de chemin permettra à un utilisateur de créer des fichiers à distance sans autorisation, mais son exploitation nécessite une connexion avec un compte valide.

Cependant, là où ce bug devient particulièrement désagréable, c'est lorsqu'il est associé au deuxième Zero-Day EPMM récent. CVE-2023-35078, qui a été divulgué et corrigé la semaine dernière, permet à l'attaquant distant de contourner les contrôles d'authentification.

En enchaînant les deux bogues, l'attaquant a alors la possibilité d'installer du code à distance sur une installation EPMM vulnérable sans avoir besoin d'informations d'authentification.

Cela semble avoir été le cas lors de la récente attaque contre la Norvège, où des responsables gouvernementaux ont déclaré avoir découvert au début du mois une faille de réseau affectant plusieurs bureaux du ministère.

Les responsables n’ont pas spéculé sur l’identité de l’auteur de l’attaque. Ivanti a reconnu que « le même nombre limité de clients » avait été touché par ces deux exploits.

Le fournisseur exhorte désormais tous ses clients à tester et à déployer les mises à jour dès que possible, un sentiment repris par CISA. Le bureau américain de cybersécurité conseille aux agences gouvernementales de se procurer les deux correctifs, notant que « ces types de vulnérabilités sont des vecteurs d'attaque fréquents pour les cyberacteurs malveillants et posent des risques importants pour l'entreprise fédérale ».

Les administrateurs feraient également bien de tester et d'installer les correctifs bien avant la publication de sécurité du Patch Tuesday de mardi prochain par Microsoft et d'autres fournisseurs d'entreprise.

Même si les exploits Zero Day peuvent faire la une des journaux, de nombreuses entreprises seront tout simplement menacées par des vulnérabilités connues dont les mises à jour sont passées entre les mailles du filet. Un rapport de 2021 de la CISA a révélé que jusqu'à 100 failles de sécurité à haut risque n'étaient généralement pas corrigées par les agences fédérales.