CERTFR-2023-ALE-009
Vulnerability from certfr_alerte

[Mise à jour du 15 septembre 2023] Correction de la vulnérabilité CVE-2023-35082

Le 21 août 2023, l'éditeur a publié une mise à jour du bulletin complémentaire de sécurité [3] pour annoncer la disponibilité d'un correctif concernant la vulnérabilité CVE-2023-35082. Ce correctif est inclus dans la version 11.11.0.0 d'Ivanti EPMM [5].

[Mise à jour du 11 août 2023] Avis Ivanti concernant la vulnérabilité CVE-2023-35082

Le 07 août 2023, Ivanti a publié un nouvel avis de sécurité [3] indiquant que la vulnérabilité CVE-2023-35082 affecte toutes les versions de Endpoint Manager Mobile, et non pas uniquement les versions antérieures à 11.3 comme indiqué dans l'avis du 02 août 2023 [4].

Cette vulnérabilité permet à un attaquant d'obtenir un accès non authentifié à des chemins d'API spécifiques afin de récupérer des informations personnellement identifiables (PII) d'utilisateurs.

Dans l’attente de la publication de la version 11.11, Ivanti fournit un script RPM corrigeant cette vulnérabilité pour les versions 11.8.1.2, 11.9.1.2 et 11.10.0.3. Si l’équipement est dans une version antérieure, il est conseillé de le mettre à jour vers l’une de ces trois versions, puis d’exécuter le script. Cette procédure est décrite dans l’avis.

L'éditeur annonce que :

  • La vulnérabilité CVE-2023-35082 est exploitable uniquement sur HTTP mais pas HTTPS ;
  • Une preuve de concept est disponible publiquement ;
  • La vulnérabilité CVE-2023-35082 est activement exploitée.

[Mise à jour du 02 août 2023] Compléments d'informations techniques sur l'exploitation des vulnérabilités affectant le produit Ivanti EPMM

Le 01 août 2023, la CISA conjointement avec l'agence de sécurité des systèmes d'information norvégienne (NCSC-NO) ont publié un avis [1] concernant les vulnérabilités CVE-2023-35078 et CVE-2023-35081. Selon elles, la vulnérabilité CVE-2023-35078 est exploitée depuis au moins avril 2023.

L'avis documente certaines des actions prises par les attaquants :

  • interrogations LDAP sur les serveurs Active Directory pour l'énumération des machines ;
  • utilisation de requêtes HTTP de type GET /mifs/aad/api/v2/authorized/users pour la collecte de la liste des utilisateurs enregistrés sur les EPMM ;
  • altération des configurations de ces équipements ;
  • surveillance et modification des journaux d'activités, notamment avec l'application malveillante mi.war (1cd358d28b626b7a23b9fd4944e29077c265db46) ;
  • utilisation d'un code malveillant, dont le condensat Sha1 est c0b42bbd06d6e25dfe8faebd735944714b421388 ;
  • latéralisation sur les serveurs de messagerie.

La NCSC-NO conseille de rechercher toutes les occurrences du motif /mifs/aad/api/v2/ dans les journaux (collectés à distance) afin de déterminer si une intrusion a eu lieu. De plus, toute augmentation des évènements EventCode=1644 dans l'AD (ainsi que des valeurs 4662, 5136 et 1153) en provenance de l'EPMM à partir d'avril 2023 doit être considérée comme suspecte.

La NCSC-NO conseille également d'analyser les flux réseaux de l'EPMM vers d'autres serveurs internes et d'analyser le disque ainsi que la mémoire de l'équipement.

La CISA fournit des indicateurs de compromission ainsi que des modèles de l'outil de scan Nuclei, servant à déterminer si un équipement est vulnérable.

Le CERT-FR rappelle que l'application seule des correctifs n'est pas suffisante. En cas de suspicion de compromission, il est recommandé de continuer les investigations afin de déterminer les actions prises par un éventuel attaquant [1][2]. La mise à jour du système doit donc également s'accompagner d'analyses réseaux et systèmes dans le but de déterminer si une intrusion a eu lieu, les indicateurs de compromission fournis n'étant pas exhaustifs.

En cas de doute, il est préférable de réinstaller l'équipement et procéder au renouvellement de tous les secrets associés à l'application.

[Mise à jour du 31 juillet 2023]

Le 28 juillet 2023, Ivanti a publié un nouvel avis concernant Endpoint Manager Mobile, anciennement MobileIron Core. La vulnérabilité CVE-2023-35081 permet à un attaquant ayant les droits administrateur d'effectuer une écriture arbitraire de fichier sur le serveur, conduisant in fine à une exécution de code arbitraire à distance.

Selon Ivanti, cette vulnérabilité est activement exploitée dans le cadre d'attaques ciblées, en combinaison avec la vulnérabilité CVE-2023-35078 qui permet de contourner l'authentification administrateur.

[Publication initiale]

Le 24 juillet 2023, Ivanti a corrigé une vulnérabilité affectant le produit Endpoint Manager Mobile, anciennement MobileIron Core. Cette vulnérabilité permet à un attaquant d'obtenir un accès non authentifié à des chemins d'API spécifiques afin de récupérer des informations personnellement identifiables (PII) d'utilisateurs. Un attaquant peut également, par le biais de cette vulnérabilité, modifier la configuration du produit EPMM et créer un compte administrateur.

Le CERT-FR a connaissance d'exploitation de cette vulnérabilité. Il est donc fortement recommandé d'appliquer le correctif de sécurité dans les plus brefs délais.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

  • Ivanti Endpoint Manager Mobile (EPMM), anciennement MobileIron Core, toutes versions sans le dernier correctif de sécurité

Ivanti précise que seules les versions supportées, à savoir 11.10, 11.9 et 11.8, recevront un correctif de sécurité.

Impacted products
Vendor Product Description
References

Show details on source website

To clipboard 

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [],
  "affected_systems_content": "\u003cul\u003e \u003cli\u003eIvanti \u003cspan class=\"test-id__field-value slds-form-element__static slds-grow slds-form-element_separator is-read-only iv-cad-fld\" data-aura-rendered-by=\"14:306;a\"\u003e\u003cspan data-aura-rendered-by=\"15:306;a\"\u003eEndpoint Manager Mobile (EPMM), anciennement MobileIron Core, toutes versions sans le dernier correctif de s\u00e9curit\u00e9\u003c/span\u003e\u003c/span\u003e\u003c/li\u003e \u003c/ul\u003e \u003cp\u003eIvanti pr\u00e9cise que seules les versions support\u00e9es, \u00e0 savoir\u00a0\u003cspan class=\"test-id__field-value slds-form-element__static slds-grow slds-form-element_separator is-read-only iv-cad-fld\" data-aura-rendered-by=\"36:307;a\"\u003e11.10, 11.9 et 11.8, \u003c/span\u003e recevront un correctif de s\u00e9curit\u00e9.\u003c/p\u003e ",
  "closed_at": "2023-09-15",
  "content": "## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\ncorrectifs (cf. section Documentation).\n",
  "cves": [
    {
      "name": "CVE-2023-35081",
      "url": "https://www.cve.org/CVERecord?id=CVE-2023-35081"
    },
    {
      "name": "CVE-2023-35082",
      "url": "https://www.cve.org/CVERecord?id=CVE-2023-35082"
    },
    {
      "name": "CVE-2023-35078",
      "url": "https://www.cve.org/CVERecord?id=CVE-2023-35078"
    }
  ],
  "initial_release_date": "2023-07-26T00:00:00",
  "last_revision_date": "2023-09-15T00:00:00",
  "links": [
    {
      "title": "[3] Bulletin compl\u00e9mentaire de s\u00e9curit\u00e9 Ivanti CVE-2023-35082 du 07 ao\u00fbt 2023",
      "url": "https://forums.ivanti.com/s/article/KB-Remote-Unauthenticated-API-Access-Vulnerability-CVE-2023-35082?language=en_US"
    },
    {
      "title": "[2] Les bons r\u00e9flexes en cas d\u2019intrusion sur un syst\u00e8me d\u2019information",
      "url": "https://www.cert.ssi.gouv.fr/les-bons-reflexes-en-cas-dintrusion-sur-un-systeme-dinformation/"
    },
    {
      "title": "Avis de s\u00e9curit\u00e9 CERTFR-2023-AVI-0584 du 25 juillet 2023",
      "url": "https://www.cert.ssi.gouv.fr/avis/CERTFR-2023-AVI-0584/"
    },
    {
      "title": "[5] Mises \u00e0 jour Ivanti EPMM",
      "url": "https://help.ivanti.com/mi/help/en_us/core/11.x/rn/CoreConnectorReleaseNotes/Resolved_issues.htm"
    },
    {
      "title": "[1] Publication de la CISA et de la NCSC-NO",
      "url": "https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-213a"
    },
    {
      "title": "Avis de s\u00e9curit\u00e9 CERTFR-2023-AVI-0604 du 31 juillet 2023",
      "url": "https://www.cert.ssi.gouv.fr/avis/CERTFR-2023-AVI-0604/"
    },
    {
      "title": "[4] Avis de s\u00e9curit\u00e9 CERTFR-2023-AVI-0615 du 03 ao\u00fbt 2023",
      "url": "https://www.cert.ssi.gouv.fr/avis/CERTFR-2023-AVI-0615/"
    }
  ],
  "reference": "CERTFR-2023-ALE-009",
  "revisions": [
    {
      "description": "Version initiale",
      "revision_date": "2023-07-26T00:00:00.000000"
    },
    {
      "description": "Mise \u00e0 jour de l\u0027alerte pour inclure les informations concernant la vuln\u00e9rabilit\u00e9 CVE-2023-35081.",
      "revision_date": "2023-07-31T00:00:00.000000"
    },
    {
      "description": "Ajout de la publication de la CISA et de la NCSC-NO.",
      "revision_date": "2023-08-02T00:00:00.000000"
    },
    {
      "description": "Avis Ivanti concernant la vuln\u00e9rabilit\u00e9 CVE-2023-35082.",
      "revision_date": "2023-08-11T00:00:00.000000"
    },
    {
      "description": "Avis Ivanti concernant la disponibilit\u00e9 d\u0027un correctif.",
      "revision_date": "2023-09-15T00:00:00.000000"
    },
    {
      "description": "Cl\u00f4ture de l\u0027alerte. Cela ne signifie pas la fin d\u0027une menace. Seule l\u0027application de la mise \u00e0 jour permet de vous pr\u00e9munir contre l\u0027exploitation de la vuln\u00e9rabilit\u00e9 correspondante.",
      "revision_date": "2023-09-15T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    },
    {
      "description": "Atteinte \u00e0 la confidentialit\u00e9 des donn\u00e9es"
    },
    {
      "description": "Atteinte \u00e0 l\u0027int\u00e9grit\u00e9 des donn\u00e9es"
    },
    {
      "description": "Contournement de la politique de s\u00e9curit\u00e9"
    }
  ],
  "summary": "\u003cspan style=\"color: #ff0000;\" darkreader-inline-color=\"\"\u003e\u003cstrong\u003e\\[Mise \u00e0 jour\ndu 15 septembre 2023\\]\u003c/strong\u003e \u003c/span\u003e\u003cstrong\u003eCorrection de la vuln\u00e9rabilit\u00e9\nCVE-2023-35082\u003c/strong\u003e\n\nLe 21 ao\u00fbt 2023, l\u0027\u00e9diteur a publi\u00e9 une mise \u00e0 jour du bulletin\ncompl\u00e9mentaire de s\u00e9curit\u00e9 \\[3\\] pour annoncer la disponibilit\u00e9 d\u0027un\ncorrectif concernant la vuln\u00e9rabilit\u00e9 CVE-2023-35082. Ce correctif est\ninclus dans la version 11.11.0.0 d\u0027Ivanti EPMM \\[5\\].\n\n\u003cspan style=\"color: #ff0000;\" darkreader-inline-color=\"\"\u003e\u003cstrong\u003e\\[Mise \u00e0 jour\ndu 11 ao\u00fbt 2023\\]\u003c/strong\u003e \u003c/span\u003e\u003cstrong\u003eAvis Ivanti concernant la vuln\u00e9rabilit\u00e9\nCVE-2023-35082\u003c/strong\u003e\n\nLe 07 ao\u00fbt 2023, Ivanti a publi\u00e9 un nouvel avis de s\u00e9curit\u00e9 \\[3\\]\nindiquant que la vuln\u00e9rabilit\u00e9 CVE-2023-35082 affecte toutes les\nversions de Endpoint Manager Mobile, et non pas uniquement les versions\nant\u00e9rieures \u00e0 11.3 comme indiqu\u00e9 dans l\u0027avis du 02 ao\u00fbt 2023 \\[4\\].\n\nCette vuln\u00e9rabilit\u00e9 permet \u00e0 un attaquant d\u0027obtenir un acc\u00e8s non\nauthentifi\u00e9 \u00e0 des chemins d\u0027API sp\u00e9cifiques afin de r\u00e9cup\u00e9rer des\ninformations personnellement identifiables (PII) d\u0027utilisateurs.\n\nDans l\u2019attente de la publication de la version 11.11, Ivanti fournit un\nscript RPM corrigeant cette vuln\u00e9rabilit\u00e9 pour les versions 11.8.1.2,\n11.9.1.2 et 11.10.0.3. Si l\u2019\u00e9quipement est dans une version ant\u00e9rieure,\nil est conseill\u00e9 de le mettre \u00e0 jour vers l\u2019une de ces trois versions,\npuis d\u2019ex\u00e9cuter le script. Cette proc\u00e9dure est d\u00e9crite dans l\u2019avis.\n\nL\u0027\u00e9diteur annonce que :\n\n-   La vuln\u00e9rabilit\u00e9 CVE-2023-35082 est exploitable uniquement sur HTTP\n    mais pas HTTPS ;\n-   Une preuve de concept est disponible publiquement ;\n-   La vuln\u00e9rabilit\u00e9 CVE-2023-35082 est activement exploit\u00e9e.\n\n\u003cstrong\u003e\\[Mise \u00e0 jour du 02 ao\u00fbt 2023\\]\u003c/strong\u003e \u003cstrong\u003eCompl\u00e9ments d\u0027informations\ntechniques sur l\u0027exploitation des vuln\u00e9rabilit\u00e9s affectant le produit\nIvanti EPMM  \n\u003c/strong\u003e\n\nLe 01 ao\u00fbt 2023, la CISA conjointement avec l\u0027agence de s\u00e9curit\u00e9 des\nsyst\u00e8mes d\u0027information norv\u00e9gienne (NCSC-NO) ont publi\u00e9 un avis \\[1\\]\nconcernant les vuln\u00e9rabilit\u00e9s CVE-2023-35078 et CVE-2023-35081. Selon\nelles, la vuln\u00e9rabilit\u00e9 CVE-2023-35078 est exploit\u00e9e depuis au moins\navril 2023.\n\nL\u0027avis documente certaines des actions prises par les attaquants :\n\n-   interrogations *LDAP* sur les serveurs *Active Directory* pour\n    l\u0027\u00e9num\u00e9ration des machines ;\n-   utilisation de requ\u00eates *HTTP* de type *GET\n    /mifs/aad/api/v2/authorized/users* pour la collecte de la liste des\n    utilisateurs enregistr\u00e9s sur les EPMM ;\n-   alt\u00e9ration des configurations de ces \u00e9quipements ;\n-   surveillance et modification des journaux d\u0027activit\u00e9s, notamment\n    avec l\u0027application malveillante *mi.war*\n    (*1cd358d28b626b7a23b9fd4944e29077c265db46*) ;\n-   utilisation d\u0027un code malveillant, dont le condensat Sha1 est\n    *c0b42bbd06d6e25dfe8faebd735944714b421388* ;\n-   lat\u00e9ralisation sur les serveurs de messagerie.\n\nLa NCSC-NO conseille de rechercher toutes les occurrences du motif\n*/mifs/aad/api/v2/* dans les journaux (collect\u00e9s \u00e0 distance) afin de\nd\u00e9terminer si une intrusion a eu lieu. De plus, toute augmentation des\n\u00e9v\u00e8nements *EventCode=1644* dans l\u0027AD (ainsi que des valeurs *4662*,\n*5136* et *1153*) en provenance de l\u0027EPMM \u00e0 partir d\u0027avril 2023 doit\n\u00eatre consid\u00e9r\u00e9e comme suspecte.\n\nLa NCSC-NO conseille \u00e9galement d\u0027analyser les flux r\u00e9seaux de l\u0027EPMM\nvers d\u0027autres serveurs internes et d\u0027analyser le disque ainsi que la\nm\u00e9moire de l\u0027\u00e9quipement.\n\nLa CISA fournit des indicateurs de compromission ainsi que des mod\u00e8les\nde l\u0027outil de scan *Nuclei,* servant \u00e0 d\u00e9terminer si un \u00e9quipement est\nvuln\u00e9rable.\n\nLe CERT-FR rappelle que l\u0027application seule des correctifs n\u0027est pas\nsuffisante. En cas de suspicion de compromission, il est recommand\u00e9 de\ncontinuer les investigations afin de d\u00e9terminer les actions prises par\nun \u00e9ventuel attaquant \\[1\\]\\[2\\]. La mise \u00e0 jour du syst\u00e8me doit donc\n\u00e9galement s\u0027accompagner d\u0027analyses r\u00e9seaux et syst\u00e8mes dans le but de\nd\u00e9terminer si une intrusion a eu lieu, les indicateurs de compromission\nfournis n\u0027\u00e9tant pas exhaustifs.\n\nEn cas de doute, il est pr\u00e9f\u00e9rable de r\u00e9installer l\u0027\u00e9quipement et\nproc\u00e9der au renouvellement de tous les secrets associ\u00e9s \u00e0 l\u0027application.\n\n\u003cspan style=\"color: #000000;\" darkreader-inline-color=\"\"\u003e\u003cstrong\u003e\\[Mise \u00e0 jour\ndu 31 juillet 2023\\]\u003c/strong\u003e\u003c/span\u003e\n\nLe 28 juillet 2023, Ivanti a publi\u00e9 un nouvel avis concernant \u003cspan\nclass=\"test-id__field-value slds-form-element__static slds-grow slds-form-element_separator is-read-only iv-cad-fld\"\naura-rendered-by=\"14:305;a\"\u003e\u003cspan aura-rendered-by=\"15:305;a\"\u003eEndpoint\nManager Mobile,\u003c/span\u003e\u003c/span\u003e anciennement MobileIron Core. La\nvuln\u00e9rabilit\u00e9 CVE-2023-35081 permet \u00e0 un attaquant ayant les droits\nadministrateur d\u0027effectuer une \u00e9criture arbitraire de fichier sur le\nserveur, conduisant *in fine* \u00e0 une ex\u00e9cution de code arbitraire \u00e0\ndistance.\n\nSelon Ivanti, cette vuln\u00e9rabilit\u00e9 est activement exploit\u00e9e dans le cadre\nd\u0027attaques cibl\u00e9es, en combinaison avec la vuln\u00e9rabilit\u00e9 CVE-2023-35078\nqui permet de contourner l\u0027authentification administrateur.\n\n\u003cstrong\u003e\\[Publication initiale\\]\u003c/strong\u003e\n\nLe 24 juillet 2023, Ivanti a corrig\u00e9 une vuln\u00e9rabilit\u00e9 affectant le\nproduit \u003cspan\nclass=\"test-id__field-value slds-form-element__static slds-grow slds-form-element_separator is-read-only iv-cad-fld\"\naura-rendered-by=\"14:305;a\"\u003e\u003cspan aura-rendered-by=\"15:305;a\"\u003eEndpoint\nManager Mobile,\u003c/span\u003e\u003c/span\u003e anciennement MobileIron Core. Cette\nvuln\u00e9rabilit\u00e9 permet \u00e0 un attaquant d\u0027obtenir un acc\u00e8s non authentifi\u00e9 \u00e0\ndes chemins d\u0027API sp\u00e9cifiques afin de r\u00e9cup\u00e9rer des informations\npersonnellement identifiables (PII) d\u0027utilisateurs. Un attaquant peut\n\u00e9galement, par le biais de cette vuln\u00e9rabilit\u00e9, modifier la\nconfiguration du produit EPMM et cr\u00e9er un compte administrateur.\n\nLe CERT-FR a connaissance d\u0027exploitation de cette vuln\u00e9rabilit\u00e9. Il est\ndonc fortement recommand\u00e9 d\u0027appliquer le correctif de s\u00e9curit\u00e9 dans les\nplus brefs d\u00e9lais.\n",
  "title": "[M\u00e0J] Multiples vuln\u00e9rabilit\u00e9s dans Ivanti Endpoint Manager Mobile",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Bulletin de s\u00e9curit\u00e9 Ivanti CVE-2023-35078 du 24 juillet 2023",
      "url": "https://forums.ivanti.com/s/article/CVE-2023-35078-Remote-unauthenticated-API-access-vulnerability"
    },
    {
      "published_at": null,
      "title": "Bulletin de s\u00e9curit\u00e9 Ivanti CVE-2023-35081 du 28 juillet 2023",
      "url": "https://forums.ivanti.com/s/article/CVE-2023-35081-Arbitrary-File-Write"
    }
  ]
}


Log in or create an account to share your comment.




Tags
Taxonomy of the tags.




Sightings

Author Source Type Date

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
  • Confirmed: The vulnerability is confirmed from an analyst perspective.
  • Published Proof of Concept: A public proof of concept is available for this vulnerability.
  • Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
  • Patched: This vulnerability was successfully patched by the user reporting the sighting.
  • Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
  • Not confirmed: The user expresses doubt about the veracity of the vulnerability.
  • Not patched: This vulnerability was not successfully patched by the user reporting the sighting.