Lanac Ivanti Connect Secure propusta omogućava root pristup
Volexity je 13. oktobra objavio da je napadač povezao tri zero-day propusta u VPN uređaju Ivanti Connect Secure i bez prijave izvršavao komande sa root privilegijama. Ivanti je objavio ispravke za dva propusta objedinjena oznakom CVE-2026-104935, dok se zakrpa za treći, propust za eskalaciju privilegija, očekuje u narednom izdanju u sledećim nedeljama.
Incident koji je Volexity istraživao pogodio je uređaj korisnika koji je u tom trenutku bio potpuno zakrpljen i radio na verziji 22.8R2.4. Akter kojeg kompanija prati kao UTA0576 počeo je eksploataciju 3. oktobra, a Ivanti je 13. oktobra potvrdio ograničenu eksploataciju u stvarnim napadima.
Kako funkcioniše lanac propusta
Prva dva problema obuhvataju zaobilaženje autentikacije i udaljeno izvršavanje koda. Zajedno omogućavaju pokretanje koda u kontekstu korisnika cgi-server na uređaju. Treći propust potom podiže privilegije do root nivoa, što napadaču daje potpunu kontrolu nad sistemom.
Ivanti za CVE-2026-104935 navodi CVSS ocenu 8,6 od 10. CISA u svom zapisu označava eksploataciju kao aktivnu, a tehnički uticaj kao potpun. Pogođene su verzije Connect Secure pre 25.1.3.0, dok su kao nepogođene navedene 22.7R2.14 i starije, 22.8R2.5, 25.1.3.0 i 25.1.3.1.
Zašto je otkrivanje kompromitacije otežano
Ivanti preporučuje nadogradnju i redovno pokretanje alata Integrity Checker Tool. Međutim, Volexity navodi da alat ne otkriva ovaj lanac jer eksploatacija menja bibliotečki kod samo u memoriji i vraća izmenjene konfiguracione podatke. Napadač je preduzeo i dodatne korake da ostane nevidljiv alatu.
Potvrda kompromitacije zato zahteva mrežnu i memorijsku forenziku. U jedinom istraženom slučaju zabeležen je veliki broj zahteva prema putanji /dana-na/auth/url_default/welcome.cgi, uz zaglavlje X-DSCGI-PATH čija se vrednost nije podudarala sa URL putanjom. Volexity je izdvojio i direktorijum /data/.icscap/ i IP adresu 108.165.147[.]64 koju je napadač koristio.
Operativni prioriteti za organizacije
U tom incidentu napadač je preuzeo sačuvane kredencijale, uključujući LDAP domenske naloge, pretraživao Active Directory radi lozinki i sprovodio password-spraying napade na naloge organizacije. Nije ostavio bekdor ni web shell, već je ceo lanac eksploatacije ponavljao za svaku komandu.
Organizacije koje koriste Ivanti Connect Secure treba da utvrde svoju verziju, pređu na izdanje izvan pogođenog opsega i provere navedene indikatore kroz mrežne i memorijske zapise. Nadogradnja je neposredan korak, ali istraga mogućeg prethodnog pristupa ostaje zaseban bezbednosni zadatak.