ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA) bugün devlet hackerlarının Nisan ayından bu yana MobileIron Core Ivanti'nin uç noktası yöneticisi Mobile'da (EPMM) iki kusurdan yararlandığını söyledi.
"Gelişmiş Kalıcı Tehdit (APT) aktörleri, birkaç Norveçli kuruluştan bilgi toplamak ve bir Norveç hükümet ajansının ağına erişmek ve tehlikeye atmak için en az Nisan 2023'ten Temmuz 2023'e kadar CVE-2023-35078'den sıfır gün olarak sömürdü." Cisa Salı günü söyledi.
"Mobil Cihaz Yönetimi (MDM) sistemleri, binlerce mobil cihaza yüksek erişim sağladıkları için tehdit aktörleri için cazip hedeflerdir ve APT aktörleri önceki bir MobileIron güvenlik açığından yararlanmıştır.
"Sonuç olarak, CISA ve NCSC-NO, hükümet ve özel sektör ağlarında yaygın sömürü potansiyeli konusunda endişe duyuyor."
Norveç hükümet kuruluşlarını hedefleyen saldırılarda sıfır gün olarak sömürülen kritik bir kimlik doğrulama bypass kırılganlığı olan kusurlardan biri (CVE-2023-35078), tehdit aktörlerini sağlayan ikinci bir dizin geçiş kusuru (CVE-2023-35081) ile zincirlenebilir. Web mermileri dağıtmak için yönetici ayrıcalıkları ile.
CVE-2023-35078 Kusur, saldırganların iki güvenlik hatasını zincirlemek için gereken EPMM yönetim hesaplarını oluşturmasını sağlar.
Başarılı bir sömürü takiben, tehdit aktörleri, potansiyel olarak kişisel olarak tanımlanabilir bilgilere (PII) hırsızlığa yol açan belirli API yollarına erişebilir, adlar, telefon numaraları ve diğer mobil cihaz ayrıntıları içeren uzlaşır.
Norveç Veri Koruma Otoritesi (DPA), korsanların tehlikeye atılan hükümet sistemlerinden hassas verilere erişebileceği ve/veya çalınmış olabileceği endişeler nedeniyle, Norveçli ajansların ağlarını hedefleyen saldırılardan sonra da uyarıldı.
Shodan'ın bildirdiği gibi, şu anda ABD yerel ve eyalet devlet kurumlarına bağlı bir düzineden fazla da dahil olmak üzere internette maruz kalan 2.300'den fazla erişilebilir MobileIron kullanıcı portalı var.
Bugünün uyarısı, Norveç Ulusal Siber Güvenlik Merkezi (NCSC-NO) ile işbirliği içinde yayınlanan ortak bir danışma olarak geliyor ve ABD federal ajanslarından 15 Ağustos'a kadar aktif olarak sömürülen bu iki kusurdan birini yamasını isteyen bir emir izliyor.
CISA ayrıca Pazartesi günü federal ajanslara sistemlerini 21 Ağustos'a kadar CVE-2023-35081 sömürüsüne karşı düzeltmelerini emretti.
ABD Siber Güvenlik Ajansı bir hafta önce, "Bu tür güvenlik açıkları, kötü niyetli siber aktörler için sık sık saldırı vektörleridir ve federal işletme için önemli riskler oluşturmaktadır."
Bu göz önüne alındığında, güvenlik ekiplerine ve yöneticilerine sistemlerini devam eden saldırılardan korumak için Ivanti EPMM'yi (MobileIRN) hemen en son sürüme yükseltmeleri tavsiye edilir.
Ayrıca MDM sistemlerini, binlerce yönetilen cihazın ağlarına yüksek erişim sağlayabilecekleri için ek kısıtlamalar ve izleme gerektiren yüksek değerli varlıklar (HVAS) olarak görmelidirler.
Cisa, Govt ajanslarını saldırılarda sömürülen ivanti böceklerini yamaya uyardı
Ivanti Yamalar Norveç Hükümeti Saldırılarında Yeni Sıfır Gün İstismar
Ivanti Yamaları Mobileiron Saldırılarda Sömürü Sıralı Gün Böcek
CISA, idor web uygulaması güvenlik açıklarından kaynaklanan ihlal riskleri konusunda uyarıyor
Cisa, Govt ajanslarını Adobe Coldfusion Sunucuları Yamaya Uyarıyor
Kaynak: Bleeping Computer