Ivanti แจ้งเตือนช่องโหว่ระดับ Critical ใน EPM ที่ทำให้ผู้โจมตีสามารถเข้าควบคุมเครื่องได้

Ivanti แก้ไขช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ระดับ Critical ใน Endpoint Management software (EPM) ที่ทำให้ Hacker สามารถเข้าควบคุมเครื่อง enrolled devices หรือ core server ได้

Ivanti EPM เป็นซอฟต์แวร์ช่วยจัดการอุปกรณ์ไคลเอนต์ที่ใช้แพลตฟอร์มที่หลากหลาย ตั้งแต่ Windows และ macOS ไปจนถึง Chrome OS และระบบปฏิบัติการ IoT โดย Ivanti เป็นบริษัทจัดการสินทรัพย์ และระบบไอที ที่มีบริษัทใช้งานมากกว่า 40,000 แห่งทั่วโลก

ช่องโหว่ CVE-2023-39336 (คะแนน CVSS 9.6/10 ความรุนแรงระดับ Critical) ส่งผลกระทบต่อ Ivanti EPM ทุกเวอร์ชัน และได้รับการแก้ไขไปแล้วในเวอร์ชัน 2022 Service Update 5

โดยผู้โจมตีที่สามารถเข้าถึงเครือข่ายภายในของเป้าหมาย สามารถใช้ประโยชน์จากช่องโหว่ในการโจมตีที่มีความซับซ้อนต่ำ รวมถึงไม่ต้องการสิทธิ์ที่สูง หรือการโต้ตอบจากผู้ใช้งาน

โดย Ivanti ระบุว่า “ผู้โจมตีที่สามารถเข้าถึงเครือข่ายภายใน สามารถใช้ประโยชน์จากการโจมตีแบบ SQL injection เพื่อสั่งการ SQL queries และดึงข้อมูลออกมาได้โดยไม่จำเป็นต้องผ่านการตรวจสอบสิทธิ์ รวมถึงอาจทำให้ผู้โจมตีสามารถเข้าควบคุมเครื่องที่มีการติดตั้ง EPM agent ได้ หาก core server ได้รับการกำหนดค่าให้ใช้ SQL express ซึ่งเป็นสาเหตุให้สามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) บน core server ได้”

การโจมตีช่องโหว่ Zero-Day

ทั้งนี้พบว่าในเดือนกรกฎาคม 2023 Hacker ได้ใช้ช่อง Zero-Day 2 รายการ (CVE-2023-35078 และ CVE-2023-35081) ใน Endpoint Manager Mobile (EPMM) ของ Ivanti ซึ่งเดิมเรียกว่า MobileIron Core เพื่อแฝงตัวในเครือข่ายขององค์กรรัฐบาลนอร์เวย์หลายแห่ง

โดย CISA ระบุว่า ระบบการจัดการอุปกรณ์มือถือ (MDM) เป็นเป้าหมายที่น่าสนใจสำหรับ Hacker เนื่องจากระบบเหล่านี้ทำให้สามารถเข้าถึงอุปกรณ์มือถือได้หลายพันเครื่อง รวมถึงกลุ่ม APT ก็ได้ใช้ประโยชน์จากช่องโหว่ MobileIron (CVE-2023-38035) ช่องโหว่ Zero-Day ในซอฟต์แวร์ Sentry ของ Ivanti (เดิมชื่อ MobileIron Sentry) ก่อนหน้านี้ในการโจมตีเป้าหมายเช่นกัน

ด้วยเหตุนี้ CISA และ NCSC-NO จึงมีความกังวัลว่าช่องโหว่ Zero-Day ตัวใหม่นี้จะถูกใช้ในการโจมตีเครือข่ายภาครัฐ และเอกชนเช่นเดียวกัน

นอกจากนี้ทาง Ivanti ยังได้แก้ไขช่องโหว่ด้านความปลอดภัยระดับ Critical อีกกว่าสิบรายการใน mobile device management (MDM) solution ของ Avalanche ในเดือนธันวาคม และสิงหาคมที่ผ่านมาอีกด้วย

ที่มา : bleepingcomputer