CVE-2024-50330: Ivanti Endpoint Manager (EPM) – Iniezione SQL a Esecuzione di Codice Remoto

Panoramica

CVE-2024-50330 è una vulnerabilità di iniezione SQL critica pre-autenticazione in Ivanti Endpoint Manager (EPM) che consente a un attaccante remoto non autenticato di ottenere esecuzione di codice remoto sul server bersaglio. La vulnerabilità è stata divulgata e corretta nell'aggiornamento di sicurezza di novembre 2024.

Dettagli tecnici

• CVE: CVE-2024-50330
• CWE: CWE-89 (Iniezione SQL)
• CVSS: Critico (punteggio CVSS 3.x ~9.8)
• Vettore di attacco: Rete
• Autenticazione: Nessuna richiesta
• Impatto: Esecuzione di codice remoto

Il difetto esiste in un endpoint non autenticato all'interno dell'interfaccia web di Ivanti EPM. Iniettando query SQL malevole tramite richieste HTTP appositamente create a un parametro vulnerabile, un attaccante può manipolare le query SQL di backend contro il database Microsoft SQL Server. Questo può essere sfruttato per abilitare xp_cmdshell ed eseguire comandi arbitrari del sistema operativo.

Versioni affette

Tutte le versioni di Ivanti Endpoint Manager precedenti all'aggiornamento di sicurezza di novembre 2024.

Riproduzione

Prerequisiti

• Target che esegue una versione vulnerabile di Ivanti EPM
• Accesso di rete all'interfaccia web EPM
• Python 3.x con libreria requests

PoC

Il exploit.py fornito dimostra:

1. Iniezione SQL basata su UNION per estrarre informazioni dal database
2. Abilitazione di xp_cmdshell tramite iniezione SQL
3. Esecuzione di comandi di sistema arbitrari
4. Iniezione cieca basata sul tempo come tecnica di fallback

Mitigazione

• Applicare immediatamente l'aggiornamento di sicurezza di novembre 2024 di Ivanti
• Limitare l'accesso di rete alle interfacce di gestione EPM
• Monitorare query SQL anomale ed esecuzione di comandi
• Implementare regole del Web Application Firewall (WAF) per rilevare pattern di iniezione SQL

Riferimenti

• Avviso di sicurezza Ivanti
• CVE-2024-50330
• CWE-89: Iniezione SQL