Ivanti Connect Around 취약점 검사기

Ivanti Connect Around 취약점 검사기

개요

Connect Around 공격 체인(CVE-2023-46805 및 CVE-2024-21887 관련)은 Ivanti Connect Secure 및 Policy Secure 어플라이언스에 심각한 위협을 제기합니다. 이 공격 체인은 취약한 시스템에서 무단 액세스 및 명령 실행을 가능하게 합니다. CVE-2023-46805는 공격자가 인증 제어를 우회할 수 있게 하며, CVE-2024-21887(명령 주입 취약점)은 전자와 결합될 때 인증 없이도 악용될 수 있습니다. 이 두 가지 취약점은 Ivanti 제품을 사용하는 조직이 Ivanti 커뮤니티 포럼에 설명된 완화 조치를 긴급히 적용해야 함을 요구합니다.

조직이 완화 상태를 확인해야 하는 필요에 대응하여 Ivanti Connect Around 취약점 검사기가 개발되었습니다. 이 스크립트는 Ivanti Connect Secure 및 Policy Secure 어플라이언스에서 Connect Around 공격 체인과 관련된 취약점을 평가하기 위해 설계되었습니다. 이러한 취약점의 존재를 확인하기 위해 검사를 수행하고 결과를 CSV 형식으로 출력합니다. 포괄적이고 신뢰할 수 있는 평가를 제공하기 위해 여러 완화 검증 방법론이 사용됩니다.

참고: 이 스크립트는 CVE-2024-21888 또는 CVE-2024-21893을 검증하지 않습니다.

기능

다중 검증 방법: 포괄적인 검증을 위해 각 대상에 대해 여러 테스트 방법을 수행합니다. 각 접근 방식에 대한 결과가 반환됩니다.
동시 호스트 검사: 여러 호스트를 동시에 효율적으로 스캔하여 네트워크 전반의 취약점 평가 시간을 크게 단축합니다.
사용자 정의 가능한 명령줄 인수: 입력 및 출력 파일 경로, 동시 스캔 스레드 수, 선택 가능한 포트와 같은 특정 매개변수를 정의할 수 있는 유연성을 제공하여 맞춤형 및 정밀한 스캔을 보장합니다.
적응형 출력 관리: 현재 날짜와 시간을 기반으로 기본 명명 규칙을 사용하여 출력 파일을 자동으로 생성하며, 사용자가 조직의 필요에 맞게 사용자 정의 파일 이름을 지정할 수도 있습니다.
고급 오류 처리: 상세한 HTTP 오류 코드, 네트워크 연결 문제 및 기타 예상치 못한 오류를 포함한 포괄적인 오류 보고를 제공하여 스캔 중 잠재적 문제를 정확하게 식별하고 문제를 해결할 수 있습니다.
포트 유연성: 사용자가 스캔할 특정 포트를 정의할 수 있으며(기본값 80 및 443), 다양한 네트워크 구성을 수용하고 취약점 평가의 깊이를 향상시킵니다.
색상 코드 콘솔 출력: 향상된 사용자 경험을 위한 선택적 기능으로, 콘솔에 색상 코드 출력을 제공하여 다양한 스캔 상태를 빠르고 쉽게 식별할 수 있도록 하고 결과의 가독성과 해석을 개선합니다.

검사 유형

이 스크립트는 Ivanti Connect Secure 시스템의 보안 상태를 평가하기 위해 다양한 검사를 수행합니다. 각 검사는 정보 보안 커뮤니티의 연구에서 채택된 특정 방법론을 기반으로 합니다.

웹 접근

방법론: WatchTowr Labs 연구에서 채택.
설명: /api/v1/configuration/users/user-roles/user-role/rest-userrole1/web/web-bookmarks/bookmark 엔드포인트에 인증 없이 요청을 보냅니다.
양성 결과: "취약함" 상태 표시.
음성 결과: "완화됨" 상태 표시.
연구 링크: WatchTowr Labs Research.

시스템 정보

방법론: Rapid7의 Stephen Fewer 연구에서 채택.
설명: /api/v1/system/system-information URI에 접근을 시도합니다.
양성 결과: "취약함" 상태 표시.
음성 결과: "완화됨" 상태 표시.
연구 링크: Metasploit Framework Module.

우회 탐지됨

방법론: Assetnote의 대체 우회 URI 연구에서 채택.
설명: /admin/options/ URI에 접근을 시도합니다.
양성 결과: "취약함 (우회 탐지됨)" 상태 표시.
음성 결과: "취약하지 않음" 상태 표시.
연구 링크: Assetnote.

각 검사는 잠재적인 취약점에 대한 통찰력을 제공합니다. "취약함"은 확인된 취약점을 나타내며, "완화됨" 또는 "취약하지 않음"은 시스템이 테스트 중인 특정 취약점에 대해 안전한 것으로 보임을 의미합니다.

상태 유형 설명

스크립트는 각 검사를 특정 상태 유형으로 분류하여 스캔된 호스트의 보안 태세에 대한 통찰력을 제공합니다. 각 상태 유형에 대한 설명은 다음과 같습니다.

완화됨: 시스템이 확인된 취약점에 대해 완화 조치를 적용했음을 나타냅니다. 이 상태는 안전하고 패치된 시스템의 전형적인 응답이 감지될 때 반환됩니다.
취약함: 이 상태는 시스템이 스크립트가 수행한 특정 검사에 취약함을 시사합니다. 시스템이 취약점을 나타내는 알려진 패턴 또는 응답을 보일 때 반환됩니다.
HTTP 오류: 스크립트가 대상 시스템으로부터 표준 HTTP 오류 응답(403 금지 제외)을 받을 때 반환됩니다. 일반적으로 웹 서버 또는 요청에 문제가 있음을 나타냅니다.
네트워크 문제: 스크립트가 호스트에 도달할 수 없는 등 네트워크 관련 문제를 만났을 때 사용됩니다. 이전의 "호스트 연결 불가" 및 "네트워크 오류" 상태를 결합한 것입니다.
시간 초과 오류: 대상에 대한 요청이 시간 초과되었음을 나타내며, 스크립트가 검사를 완료하지 못하게 하는 잠재적 네트워크 또는 구성 문제를 시사합니다.
연결 오류: "시간 초과 오류"와 유사하게, 호스트와의 연결 설정에 문제가 있을 때 사용되며, 네트워크 문제, 잘못된 호스트 이름 등이 원인일 수 있습니다.
Ivanti 존재 여부 불확실: 이전에는 "입증 필요"로 알려졌으며, 스크립트의 검사가 취약성 또는 완화에 대한 결정적인 증거를 제공하지 않을 때 반환됩니다. 시스템의 보안 상태를 확인하기 위해 추가 수동 조사가 필요함을 시사합니다.
취약함 (우회 탐지됨): 우회 취약점 검사에 특화된 상태로, 시스템이 스크립트 방법론에 설명된 인증 우회 기술에 취약함을 나타냅니다.

각 상태는 확인된 취약점과 관련된 시스템의 보안 태세에 대한 스냅샷을 제공합니다. 사용자는 이러한 상태를 초기 지표로 간주하고 필요한 경우 추가 수동 조사를 통해 시스템의 실제 보안 상태를 확인해야 합니다.

시작하기

요구 사항

Python 3
requests 모듈
urllib3 모듈
선택 사항: 색상 코드 출력을 위한 colorama 모듈

사용법

스크립트를 실행하려면 다음 명령을 사용하십시오.

python ivanti_scan.py -i [input_file]

선택적으로 추가 인수와 함께 실행:

python ivanti_scan.py -i [input_file] -o [output_file] -t [number_of_threads] -p [port1 port2 ...] --color

인수

대상 지정

다음 옵션 중 하나를 사용하여 테스트할 대상을 지정하십시오.

-i 또는 --input: 대상 목록이 포함된 입력 파일의 경로.
-u 또는 --url: 테스트할 단일 URL 문자열.

사용자 정의 변수

-o 또는 --output: 선택 사항. 출력 CSV 파일의 이름입니다. 기본값은 [current_date_time]_results.csv입니다.
-t 또는 --threads: 선택 사항. 동시 실행에 사용할 스레드 수입니다. 기본값은 20입니다.
-p 또는 --ports: 선택 사항. 확인할 포트를 지정합니다(예: 80 443). 기본값은 포트 80과 443을 확인합니다.
-a 또는 --user-agent: 선택 사항. 사용자 에이전트 문자열을 지정합니다. 기본값: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.3

출력 스타일링

-c 또는 --color: 선택 사항. colorama가 설치된 경우 색상 코드 출력을 활성화합니다.

할 일

사용자가 테스트 방법을 지정할 수 있도록 허용
추가 검증 방법 추가
출력 형식 개선
상세 모드 추가

기여 가이드라인

기여를 환영합니다! 기여하려는 경우 다음 방법으로 도움을 주실 수 있습니다.

이슈 보고

오류 보고: 오류나 버그를 발견하신 경우 문제를 상세히 설명하고 재현 단계 및 관련 로그나 스크린샷을 포함하여 이슈를 생성해 주십시오.
기능 요청: 새로운 기능이나 개선에 대한 아이디어가 있으신가요? 기꺼이 듣겠습니다! 제안하는 기능에 대한 명확한 설명과 함께 이슈를 제출해 주십시오.

풀 리퀘스트 제출

기능 개선: 도구의 기능을 개선하는 기여는 크게 감사합니다. 수정 사항이나 개선 사항을 개발하셨다면 풀 리퀘스트를 자유롭게 제출해 주십시오.
가이드라인:
- 저장소를 포크하고 main 브랜치에서 새 브랜치를 생성하십시오.
- 명확하고 간결한 커밋 메시지를 작성하십시오.
- 코드가 기존 스타일을 준수하여 일관성을 유지하도록 하십시오.
- 변경 사항에 대한 상세한 설명과 함께 풀 리퀘스트를 생성하십시오.

이 프로젝트에 기여를 고려해 주셔서 감사합니다.

의도된 사용 및 면책 조항

목적

이 도구는 개인 및 조직이 자체 환경 내에서 취약점 완화를 검증하기 위해 설계되었습니다. 특히 보안 테스트에 대한 명시적 허가가 있는 Ivanti Connect Secure 어플라이언스에서 사용하기 위한 것입니다.

면책 조항

윤리적 사용: 이 스크립트는 합법적인 목적으로만 사용해야 합니다. 사용자는 대상 시스템을 테스트할 권한이 있는지 확인할 책임이 있습니다.
정확성: 이 도구의 정확성과 효과를 보장하기 위해 노력했지만, "있는 그대로" 제공되며 사용자는 그 한계를 이해하고 결과를 해석해야 합니다.
보증 없음: 저자 Chris Farrell은 이 도구에 대해 어떠한 종류의 보증도 제공하지 않습니다. 사용자는 사용과 관련된 모든 위험을 부담합니다.
책임: 사용자는 모든 관련 법률 및 규정을 준수해야 합니다. 저자는 이 도구의 오용 또는 사용으로 인한 어떠한 손해에 대해서도 책임을 지지 않습니다.

이 도구를 사용함으로써 귀하는 이 조건을 인정하고 동의하는 것으로 간주됩니다.

라이선스

이 프로젝트는 윤리적 사용 조항이 포함된 MIT 라이선스에 따라 라이선스가 부여됩니다. 자세한 내용은 LICENSE 파일을 참조하십시오.

감사의 말

이 프로젝트는 사이버 보안 분야의 여러 저명한 그룹 및 개인이 개발한 연구와 방법론을 활용합니다. 다음 분들께 감사드립니다.

WatchTowr Labs: Ivanti Connect Secure 취약점에 대한 통찰력 있는 연구를 해주셨습니다. 그들의 작업은 웹 접근 검사 방법론을 개발하는 데 중요한 역할을 했습니다.
- WatchTowr Labs Research
Rapid7의 Stephen Fewer: Metasploit 모듈에 대한 그의 작업은 귀중한 통찰력을 제공했습니다.
- Metasploit Framework Module by Stephen Fewer
AttackerKB의 Rapid7: 인증 우회 기술에 대한 연구는 이 스크립트에 많은 정보를 제공했습니다.
- Rapid7 Analysis on AttackerKB
Assetnote: /admin/options/를 신뢰할 수 있는 테스트 방법으로 인식한 것은 완화 적용 여부를 판단하는 데 도움이 되었습니다.
- Assetnote Analysis

이 도구 개발에 큰 도움을 주신 사이버 보안 분야의 이 그룹과 개인에게 특별히 감사드립니다.

저자 소개

Chris Farrell은 철저한 분석과 포괄적인 솔루션을 통해 사이버 보안을 강화하는 데 전념하는 취약점 연구원입니다.

경력에는 취약점 관리, vCISO, 수석 침투 테스터, 사고 대응 팀장, ISSO 등이 포함됩니다.

Ivanti-Connect-Around-Scan

인기