Controllo delle vulnerabilità Ivanti Connect Around

Controllo delle vulnerabilità Ivanti Connect Around

Panoramica

La catena di attacco Connect Around, che coinvolge CVE-2023-46805 e CVE-2024-21887, rappresenta una minaccia significativa per i dispositivi Ivanti Connect Secure e Policy Secure. Questa catena di attacco consente accesso non autorizzato ed esecuzione di comandi sui sistemi vulnerabili. CVE-2023-46805 consente agli attaccanti di aggirare i controlli di autenticazione, mentre CVE-2024-21887, una vulnerabilità di iniezione di comandi, può essere sfruttata senza necessitare di autenticazione quando combinata con la precedente. Questo duo di vulnerabilità richiede attenzione urgente da parte delle organizzazioni che utilizzano prodotti Ivanti, spingendole ad applicare le mitigazioni disponibili come descritto nel forum della community Ivanti.

In risposta alla necessità delle organizzazioni di validare lo stato delle mitigazioni, è stato sviluppato Ivanti Connect Around Vulnerability Checker. Questo script è progettato per valutare i dispositivi Ivanti Connect Secure e Policy Secure per vulnerabilità associate alla catena di attacco Connect Around. Esegue controlli per verificare la presenza di queste vulnerabilità e restituisce i risultati in formato CSV. Vengono impiegate molteplici metodologie di validazione delle mitigazioni per fornire una valutazione completa e affidabile.

Nota: questo script non valida CVE-2024-21888 o CVE-2024-21893.

Funzionalità

Metodi di validazione multipli: Per garantire una validazione completa, vengono eseguite più metodologie di test su ciascun target. I risultati vengono restituiti per ogni approccio.
Controlli simultanei sugli host: Scansiona efficientemente più host contemporaneamente, riducendo significativamente il tempo necessario per valutare le vulnerabilità su una rete.
Argomenti da riga di comando personalizzabili: Offre flessibilità nella definizione di parametri specifici come i percorsi dei file di input e output, il numero di thread concorrenti per la scansione e porte selezionabili, garantendo scansioni precise e su misura.
Gestione adattiva dell'output: Genera automaticamente file di output con una convenzione di denominazione predefinita basata su data e ora correnti, consentendo anche agli utenti di specificare nomi di file personalizzati in base alle esigenze organizzative.
Gestione avanzata degli errori: Fornisce una reportistica completa degli errori, inclusi codici di errore HTTP dettagliati, problemi di connettività di rete e altri errori imprevisti, consentendo l'identificazione precisa e la risoluzione di potenziali problemi durante la scansione.
Flessibilità delle porte: Consente agli utenti di definire porte specifiche da scansionare (con 80 e 443 come predefinite), adattandosi a diverse configurazioni di rete e aumentando la profondità della valutazione delle vulnerabilità.
Output console colorato: Funzionalità opzionale per una migliore esperienza utente, che offre un output colorato nella console per identificare rapidamente e facilmente i diversi stati di scansione, migliorando la leggibilità e l'interpretazione dei risultati.

Tipi di controlli

Lo script esegue vari controlli per valutare lo stato di sicurezza dei sistemi Ivanti Connect Secure. Ogni controllo si basa su metodologie specifiche adattate dalla ricerca nella community della sicurezza informatica.

WEB ACCESS

Metodologia: Adattata dalla ricerca di WatchTowr Labs.
Descrizione: Richiede l'endpoint /api/v1/configuration/users/user-roles/user-role/rest-userrole1/web/web-bookmarks/bookmark senza autenticazione.
Risultato positivo: Stato visualizzato - "Vulnerabile".
Risultato negativo: Stato visualizzato - "Mitigato".
Link di ricerca: Ricerca di WatchTowr Labs.

SYSTEM INFO

Metodologia: Adattata dalla ricerca di Stephen Fewer presso Rapid7.
Descrizione: Tenta di accedere all'URI /api/v1/system/system-information.
Risultato positivo: Stato visualizzato - "Vulnerabile".
Risultato negativo: Stato visualizzato - "Mitigato".
Link di ricerca: Modulo del Metasploit Framework.

BYPASS RILEVATO

Metodologia: Adattata dalla ricerca di Assetnote sulle URI di bypass alternative.
Descrizione: Tenta di accedere all'URI /admin/options/.
Risultato positivo: Stato visualizzato - "Vulnerabile (Bypass Rilevato)".
Risultato negativo: Stato visualizzato - "Non Vulnerabile".
Link di ricerca: Assetnote.

Ogni controllo fornisce informazioni su potenziali vulnerabilità. "Vulnerabile" indica una vulnerabilità confermata, mentre "Mitigato" o "Non Vulnerabile" significa che il sistema sembra sicuro contro la specifica vulnerabilità testata.

Spiegazione dei Tipi di Stato

Lo script classifica ogni controllo con tipi di stato specifici, fornendo informazioni sulla postura di sicurezza dell'host scansionato. Ecco le descrizioni di ciascun tipo di stato:

Mitigato: Indica che il sistema ha mitigazioni attive contro le vulnerabilità controllate. Questo stato viene restituito quando vengono rilevate risposte tipiche di un sistema sicuro e aggiornato.
Vulnerabile: Questo stato suggerisce che il sistema è vulnerabile ai controlli specifici eseguiti dallo script. Viene restituito quando il sistema mostra pattern o risposte note che indicano una vulnerabilità.
Errore HTTP: Restituito quando lo script incontra risposte di errore HTTP standard (diverse da 403 Forbidden) dal sistema di destinazione. Di solito indica un problema con il server web o con la richiesta.
Problema di rete: Questo stato viene utilizzato quando lo script incontra problemi legati alla rete, come l'impossibilità di raggiungere l'host. Combina stati precedenti come "Host Unreachable" e "Network Error".
Errore di timeout: Indica che la richiesta al target è andata in timeout, suggerendo potenziali problemi di rete o di configurazione che hanno impedito allo script di completare il controllo.
Errore di connessione: Simile a "Errore di timeout", questo stato viene utilizzato quando ci sono problemi nell'instaurare una connessione con l'host, che potrebbero essere dovuti a problemi di rete, hostname errati, ecc.
Presenza Ivanti Inconclusiva: Precedentemente noto come "Attestazione Necessaria", questo stato viene restituito quando i controlli dello script non forniscono prove definitive né di vulnerabilità né di mitigazione. Suggerisce che sono necessarie ulteriori indagini manuali per determinare lo stato di sicurezza del sistema.
Vulnerabile (Bypass Rilevato): Specifico per il controllo della vulnerabilità di bypass, questo stato indica che il sistema è vulnerabile alla tecnica di bypass dell'autenticazione descritta nella metodologia dello script.

Ogni stato fornisce un'istantanea della postura di sicurezza del sistema rispetto alle vulnerabilità controllate. Gli utenti dovrebbero considerare questi stati come indicatori iniziali e, dove necessario, condurre ulteriori indagini manuali per confermare lo stato di sicurezza effettivo del sistema.

Per Iniziare

Requisiti

Python 3
Modulo requests
Modulo urllib3
Opzionale: modulo colorama per l'output colorato

Utilizzo

Per eseguire lo script, usa il seguente comando:

python ivanti_scan.py -i [input_file]

Opzionalmente, esegui con argomenti aggiuntivi:

python ivanti_scan.py -i [input_file] -o [output_file] -t [number_of_threads] -p [port1 port2 ...] --color

Argomenti

Specifica del Target

Utilizza una di queste opzioni per specificare i target da testare.

-i o --input: Percorso del file di input contenente l'elenco dei target.
-u o --url: Singola stringa URL da testare.

Variabili Personalizzate

-o o --output: Opzionale. Nome del file CSV di output. Predefinito: [current_date_time]_results.csv.
-t o --threads: Opzionale. Numero di thread da usare per l'esecuzione concorrente. Predefinito: 20.
-p o --ports: Opzionale. Specifica le porte da controllare (es., 80 443). Di default controlla le porte 80 e 443.
-a o --user-agent: Opzionale. Specifica la stringa user agent. Predefinita: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.3

Stilizzazione dell'Output

-c o --color: Opzionale. Abilita l'output colorato se colorama è installato.

Da Fare

Consentire all'utente di specificare i metodi di test
Aggiungere ulteriori metodi di validazione
Migliorare la formattazione dell'output
Aggiungere la modalità verbose

Linee Guida per i Contributi

I contributi sono benvenuti! Se desideri contribuire, ecco alcuni modi in cui puoi aiutare:

Segnalazione di Problemi

Segnalazioni di errori: Se trovi errori o bug, crea una issue che descriva il problema, i passaggi per riprodurlo ed eventuali log o screenshot pertinenti.
Richieste di funzionalità: Hai idee per nuove funzionalità o miglioramenti? Ci piacerebbe sentirle! Invia una issue con una descrizione chiara della funzionalità proposta.

Invio di Pull Request

Miglioramento delle funzionalità: I contributi che migliorano la funzionalità dello strumento sono molto apprezzati. Se hai sviluppato una correzione o un miglioramento, sentiti libero di inviare una pull request.
Linee guida:
- Fai il fork del repository e crea il tuo branch da main.
- Scrivi messaggi di commit chiari e concisi.
- Assicurati che il tuo codice aderisca allo stile esistente per mantenere la coerenza.
- Crea una pull request con una descrizione dettagliata delle tue modifiche.

Grazie per aver considerato di contribuire a questo progetto.

Uso Previsto e Dichiarazione di Esclusione di Responsabilità

Scopo

Questo strumento è progettato per individui e organizzazioni che intendono validare la mitigazione delle vulnerabilità nei propri ambienti. È specificamente destinato all'uso su dispositivi Ivanti Connect Secure per i quali è stata concessa l'autorizzazione esplicita ai test di sicurezza.

Declinazione di responsabilità

Uso etico: Questo script dovrebbe essere utilizzato solo per scopi legittimi. Gli utenti sono responsabili di assicurarsi di avere l'autorizzazione a testare i sistemi target.
Accuratezza: Sebbene siano stati compiuti sforzi per garantire l'accuratezza e l'efficacia di questo strumento, esso viene fornito "così com'è", e gli utenti dovrebbero interpretare i risultati comprendendone i limiti.
Nessuna garanzia: L'autore, Chris Farrell, fornisce questo strumento senza alcuna garanzia. Gli utenti si assumono tutti i rischi associati al suo utilizzo.
Responsabilità: Gli utenti devono rispettare tutte le leggi e i regolamenti applicabili. L'autore non è responsabile per un uso improprio di questo strumento o per eventuali danni derivanti dal suo utilizzo.

Utilizzando questo strumento, riconosci e accetti questi termini.

Licenza

Questo progetto è concesso in licenza secondo la MIT License con una clausola di uso etico - consulta il file LICENSE per i dettagli.

Riconoscimenti

Questo progetto si avvale di ricerche e metodologie sviluppate da diversi stimati gruppi e individui nel campo della cybersecurity. Estendiamo la nostra gratitudine a:

WatchTowr Labs: Per la loro ricerca approfondita sulle vulnerabilità di Ivanti Connect Secure. Il loro lavoro è stato determinante nello sviluppo della metodologia di controllo WEB ACCESS.
- Ricerca di WatchTowr Labs
Stephen Fewer di Rapid7: Il suo lavoro sul modulo Metasploit ha fornito preziose informazioni.
- Modulo del Metasploit Framework di Stephen Fewer
Rapid7 su AttackerKB: La loro ricerca sulle tecniche di bypass dell'autenticazione ha ampiamente informato questo script.
- Analisi di Rapid7 su AttackerKB
Assetnote: Riconoscere /admin/options/ come metodo di test affidabile aiuta a determinare l'applicazione delle mitigazioni.
- Analisi di Assetnote

Un ringraziamento speciale a questi gruppi e individui per i loro contributi al campo della cybersecurity, che hanno notevolmente favorito lo sviluppo di questo strumento.

Su di Me

Chris Farrell è un ricercatore di vulnerabilità impegnato a migliorare la cybersecurity attraverso analisi approfondite e soluzioni complete.

L'esperienza include gestione delle vulnerabilità, vCISO, penetration tester senior, responsabile dell'incident response, ISSO.

Ivanti-Connect-Around-Scan

Più Popolari