Ivanti Connect Around Vulnerability Checker

• Ivanti Connect Around Vulnerability Checker
  • Обзор
  • Возможности
  • Типы проверок
    • WEB ACCESS
    • SYSTEM INFO
    • BYPASS DETECTED
  • Пояснение типов статусов
  • Начало работы
    • Требования
    • Использование
      • Аргументы
        • Указание целей
        • Пользовательские переменные
        • Оформление вывода
  • Планы
  • Рекомендации по участию
    • Сообщение об ошибках
    • Отправка pull request'ов
  • Предполагаемое использование и отказ от ответственности
    • Назначение
    • Отказ от ответственности
  • Лицензия
  • Благодарности
  • Об авторе

Обзор

Цепочка атак Connect Around, включающая CVE-2023-46805 и CVE-2024-21887, представляет значительную угрозу для устройств Ivanti Connect Secure и Policy Secure. Эта цепочка атак позволяет получить несанкционированный доступ и выполнить команды на уязвимых системах. CVE-2023-46805 позволяет злоумышленникам обходить механизмы аутентификации, а CVE-2024-21887, уязвимость внедрения команд, может быть использована без аутентификации в сочетании с первой. Эта пара уязвимостей требует немедленного внимания со стороны организаций, использующих продукты Ivanti, и настоятельно рекомендует применить доступные меры защиты, описанные на форуме сообщества Ivanti.

В ответ на необходимость проверки статуса применения мер защиты организациями был разработан Ivanti Connect Around Vulnerability Checker. Этот скрипт предназначен для оценки устройств Ivanti Connect Secure и Policy Secure на предмет уязвимостей, связанных с цепочкой атак Connect Around. Он выполняет проверки для подтверждения наличия этих уязвимостей и выводит результаты в формате CSV. Для получения всесторонней и надежной оценки применяются несколько методологий проверки применения мер защиты.

Примечание: Этот скрипт не проверяет CVE-2024-21888 или CVE-2024-21893.

Возможности

• Несколько методов проверки: Для обеспечения полноты проверки каждый целевой хост тестируется несколькими способами. Результаты возвращаются для каждого подхода.
• Одновременная проверка хостов: Эффективно сканирует несколько хостов одновременно, значительно сокращая время, необходимое для оценки уязвимостей в сети.
• Настраиваемые аргументы командной строки: Предоставляет гибкость для определения конкретных параметров, таких как пути к входному и выходному файлам, количество параллельных потоков для сканирования и выбираемые порты, что обеспечивает точное и индивидуальное сканирование.
• Адаптивное управление выводом: Автоматически генерирует выходные файлы с именем по умолчанию на основе текущей даты и времени, а также позволяет пользователям указывать пользовательские имена файлов для соответствия организационным потребностям.
• Расширенная обработка ошибок: Обеспечивает всестороннее сообщение об ошибках, включая подробные HTTP-коды ошибок, проблемы с сетевым подключением и другие неожиданные ошибки, что позволяет точно идентифицировать и устранять потенциальные проблемы во время сканирования.
• Гибкость портов: Позволяет пользователям задавать определенные порты для сканирования (по умолчанию 80 и 443), адаптируясь к различным сетевым конфигурациям и повышая глубину оценки уязвимостей.
• Цветной вывод в консоли: Дополнительная функция для улучшения пользовательского опыта, предлагающая цветное кодирование вывода в консоли для быстрой и легкой идентификации различных статусов сканирования, улучшая читаемость и интерпретацию результатов.

Типы проверок

Скрипт выполняет различные проверки для оценки состояния безопасности систем Ivanti Connect Secure. Каждая проверка основана на конкретных методологиях, адаптированных из исследований сообщества специалистов по информационной безопасности.

WEB ACCESS

• Методология: Адаптирована из исследования WatchTowr Labs.
• Описание: Запрашивает конечную точку /api/v1/configuration/users/user-roles/user-role/rest-userrole1/web/web-bookmarks/bookmark без аутентификации.
• Положительный результат: Статус — "Vulnerable".
• Отрицательный результат: Статус — "Mitigated".
• Ссылка на исследование: WatchTowr Labs Research.

SYSTEM INFO

• Методология: Адаптирована из исследования Стивена Фьюера (Stephen Fewer) из Rapid7.
• Описание: Пытается получить доступ к URI /api/v1/system/system-information.
• Положительный результат: Статус — "Vulnerable".
• Отрицательный результат: Статус — "Mitigated".
• Ссылка на исследование: Metasploit Framework Module.

BYPASS DETECTED

• Методология: Адаптирована из исследования Assetnote по альтернативным URI обхода.
• Описание: Пытается получить доступ к URI /admin/options/.
• Положительный результат: Статус — "Vulnerable (Bypass Detected)".
• Отрицательный результат: Статус — "Not Vulnerable".
• Ссылка на исследование: Assetnote.

Каждая проверка предоставляет информацию о потенциальных уязвимостях. Статус "Vulnerable" указывает на подтвержденную уязвимость, а "Mitigated" или "Not Vulnerable" означает, что система выглядит защищенной от конкретной проверяемой уязвимости.

Пояснение типов статусов

Скрипт присваивает каждой проверке определенный тип статуса, давая представление о состоянии безопасности сканируемого хоста. Вот описания каждого типа статуса:

• Mitigated: Указывает, что система имеет установленные меры защиты против проверяемых уязвимостей. Этот статус возвращается, когда обнаружены ответы, типичные для защищенной и обновленной системы.

• Vulnerable: Этот статус предполагает, что система уязвима к конкретным проверкам, выполняемым скриптом. Он возвращается, когда система демонстрирует известные шаблоны или ответы, указывающие на уязвимость.

• HTTP Error: Возвращается, когда скрипт сталкивается со стандартными HTTP-ошибками (кроме 403 Forbidden) от целевой системы. Обычно указывает на проблему с веб-сервером или запросом.

• Network Issue: Этот статус используется при возникновении проблем, связанных с сетью, таких как невозможность достичь хоста. Объединяет предыдущие статусы, такие как "Host Unreachable" и "Network Error".

• Timeout Error: Указывает, что время ожидания запроса к цели истекло, что может указывать на потенциальные сетевые или конфигурационные проблемы, помешавшие скрипту завершить проверку.

• Connection Error: Аналогично "Timeout Error", этот статус используется при проблемах с установлением соединения с хостом, которые могут быть вызваны сетевыми проблемами, неверными именами хостов и т.д.

• Ivanti Presence Inconclusive: Ранее назывался "Attestation Needed". Этот статус возвращается, когда проверки скрипта не дают однозначных доказательств ни уязвимости, ни защиты. Рекомендуется провести дополнительное ручное исследование для определения состояния безопасности системы.

• Vulnerable (Bypass Detected): Специфичен для проверки обхода уязвимости. Этот статус указывает, что система уязвима к методу обхода аутентификации, описанному в методологии скрипта.

Каждый статус дает моментальный снимок состояния безопасности системы в отношении проверяемых уязвимостей. Пользователям следует рассматривать эти статусы как первоначальные индикаторы и при необходимости проводить дополнительные ручные исследования для подтверждения фактического состояния безопасности системы.

Начало работы

Требования

• Python 3
• Модуль requests
• Модуль urllib3
• Опционально: модуль colorama для цветного вывода

Использование

Для запуска скрипта используйте следующую команду:

python ivanti_scan.py -i [input_file]

Опционально, запустите с дополнительными аргументами:

python ivanti_scan.py -i [input_file] -o [output_file] -t [number_of_threads] -p [port1 port2 ...] --color

Аргументы

Указание целей

Используйте один из этих параметров для указания целей тестирования.

• -i или --input: Путь к входному файлу, содержащему список целей.
• -u или --url: Одна URL-строка для тестирования.

Пользовательские переменные

• -o или --output: Опционально. Имя выходного CSV-файла. По умолчанию: [current_date_time]_results.csv.
• -t или --threads: Опционально. Количество потоков для одновременного выполнения. По умолчанию: 20.
• -p или --ports: Опционально. Укажите порты для проверки (например, 80 443). По умолчанию проверяются порты 80 и 443.
• -a или --user-agent: Опционально. Укажите строку User-Agent. По умолчанию: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.3

Оформление вывода

• -c или --color: Опционально. Включить цветной вывод, если установлен colorama.

Планы

• Разрешить пользователю указывать методы тестирования
• Добавить дополнительные методы проверки
• Улучшить форматирование вывода
• Добавить подробный режим

Рекомендации по участию

Приветствуются вклады! Если вы хотите внести свой вклад, вот несколько способов помочь:

Сообщение об ошибках

• Отчеты об ошибках: Если вы обнаружите ошибки или баги, пожалуйста, создайте issue с подробным описанием проблемы, шагами для воспроизведения и любыми соответствующими логами или скриншотами.
• Запросы функций: Есть идеи для новых функций или улучшений? Мы будем рады их услышать! Пожалуйста, отправьте issue с четким описанием предлагаемой функции.

Отправка pull request'ов

• Улучшение функциональности: Мы высоко ценим вклады, улучшающие функциональность инструмента. Если вы разработали исправление или улучшение, не стесняйтесь отправлять pull request.
• Рекомендации:
  • Форкните репозиторий и создайте ветку от main.
  • Пишите четкие и лаконичные сообщения коммитов.
  • Убедитесь, что ваш код соответствует существующему стилю для поддержания согласованности.
  • Создайте pull request с подробным описанием ваших изменений.

Спасибо, что решили внести вклад в этот проект.

Предполагаемое использование и отказ от ответственности

Назначение

Этот инструмент предназначен для частных лиц и организаций, стремящихся проверить применение мер защиты от уязвимостей в своих собственных средах. Он специально предназначен для использования на устройствах Ivanti Connect Secure, где было получено явное разрешение на тестирование безопасности.

Отказ от ответственности

• Этическое использование: Этот скрипт должен использоваться только в законных целях. Пользователи несут ответственность за наличие разрешения на тестирование целевых систем.
• Точность: Хотя были приложены усилия для обеспечения точности и эффективности этого инструмента, он предоставляется "как есть", и пользователи должны интерпретировать результаты с пониманием его ограничений.
• Отсутствие гарантий: Автор, Крис Фаррелл (Chris Farrell), предоставляет этот инструмент без каких-либо гарантий. Пользователи принимают на себя все риски, связанные с его использованием.
• Ответственность: Пользователи должны соблюдать все применимые законы и нормативные акты. Автор не несет ответственности за любое неправомерное использование этого инструмента или любой ущерб, возникший в результате его использования.

Используя этот инструмент, вы подтверждаете и соглашаетесь с этими условиями.

Лицензия

Этот проект лицензирован в соответствии с лицензией MIT с пунктом об этическом использовании — подробности см. в файле LICENSE.

Благодарности

Этот проект использует исследования и методологии, разработанные несколькими уважаемыми группами и лицами в области кибербезопасности. Мы выражаем благодарность:

• WatchTowr Labs: За их содержательное исследование уязвимостей Ivanti Connect Secure. Их работа сыграла ключевую роль в разработке методологии проверки WEB ACCESS.

  • WatchTowr Labs Research

• Стивену Фьюеру (Stephen Fewer) из Rapid7: Его работа над модулем Metasploit предоставила ценные идеи.

  • Metasploit Framework Module by Stephen Fewer

• Rapid7 на AttackerKB: Их исследование методов обхода аутентификации существенно повлияло на этот скрипт.

  • Rapid7 Analysis on AttackerKB

• Assetnote: Признание /admin/options/ надежным методом тестирования помогает в определении применения мер защиты.

  • Assetnote Analysis

Особая благодарность этим группам и лицам за их вклад в область кибербезопасности, который значительно помог в разработке этого инструмента.

Об авторе

Крис Фаррелл (Chris Farrell) — исследователь уязвимостей, стремящийся к повышению кибербезопасности путем тщательного анализа и комплексных решений.

Опыт включает управление уязвимостями, vCISO, старшего пентестера, руководителя реагирования на инциденты, ISSO.