Ivanti, një kompani softuerësh, ka zbuluar një cenueshmëri të ditës zero që është shfrytëzuar në një sulm ndaj një agjencie qeveritare në Norvegji. E meta, e njohur si CVE-2023-35078, është një cenueshmëri e anashkalimit të vërtetimit që ndikon në Ivanti Endpoint Manager Mobile (EPMM), i njohur më parë si MobileIron Core. Ivanti deklaroi në këshillimin e tyre se ky gabim lejon aktorët e paautorizuar në distancë të kenë akses potencialisht në informacionin personal të identifikueshëm të përdoruesve dhe të bëjnë ndryshime të kufizuara në server.

Ashpërsia e kësaj cenueshmërie u vlerësua nga HackerOne me një rezultat bazë CVSS prej 10, që tregon nivelin më të lartë të ashpërsisë. Të gjitha versionet e EPMM, duke përfshirë versionet 11.4 11.10, 11.9 dhe 11.8, janë prekur. Për më tepër, versionet më të vjetra dhe të pambështetura të softuerit janë gjithashtu në rrezik. Ivanti e ka adresuar këtë çështje duke lëshuar një patch që është aktualisht në dispozicion. Konsumatorët që përdorin versionet e mëparshme mund të aplikojnë një skript RPM për të zbutur cenueshmërinë. Në përgjigje të incidentit, Agjencia e Sigurisë Kibernetike dhe Sigurisë së Infrastrukturës (CISA) ka këshilluar klientët e Ivanti të rishikojnë këshillimin e sigurisë dhe të aplikojnë arnimet e nevojshme.

Ivanti deklaroi në një postim të dedikuar në blog se ata janë të vetëdijshëm për vetëm një numër të kufizuar klientësh të ndikuar nga kjo cenueshmëri e ditës zero. Megjithatë, ka dalë në dritë se Organizata e Sigurisë dhe Shërbimit e Departamentit të Qeverisë Norvegjeze (DSS) ka rënë viktimë e shfrytëzimit. Agjencia norvegjeze kibernetike Autoriteti i Sigurisë Kombëtare e pranoi incidentin në LinkedIn, duke siguruar se palët përkatëse po punojnë së bashku për të zgjidhur çështjen.

Raportet rreth CVE-2023-35078 u shfaqën për herë të parë kur studiuesit e sigurisë përmendën një shfrytëzim të ri të ditës zero në forumin e mbështetjes së klientit të Ivanti. Megjithatë, për shkak se ky forum është i kufizuar vetëm për klientët, këshillimi fillestar në mënyrë efektive u pagua derisa Ivanti zbuloi zyrtarisht defektin të hënën. Artikulli i bazës së njohurive që ofron korrigjime të detajuara për cenueshmërinë ende kërkon një hyrje nga klienti, duke kufizuar më tej aksesin në informacione të rëndësishme.

Editoriali TechTarget kontaktoi Ivanti për njohuri shtesë rreth sulmit ndaj DSS, këshillimit të kufizuar dhe aksesit në artikullin e bazës së njohurive. Megjithatë, një zëdhënës nga Ivanti nuk pranoi të jepte artikullin ose t'u përgjigjej drejtpërdrejt pyetjeve. Në vend të kësaj, ata lëshuan një deklaratë duke theksuar angazhimin e tyre për të mbrojtur sigurinë e klientit dhe adresimin e menjëhershëm të dobësive. Ivanti përmendi gjithashtu se ata dhanë kohë shtesë për klientët që të aplikojnë patch-in përpara zbulimit publik për të minimizuar potencialin për shfrytëzim. Ata konfirmuan bashkëpunimin e tyre me NCSC-NO (Qendra Kombëtare e Sigurisë Kibernetike Norvegjeze) dhe agjenci të tjera qeveritare të përfshira në zbulimin e koordinuar, duke përfshirë bashkëpunimin e tyre me CISA.

Kjo dobësi e ditës zero në Ivanti Endpoint Manager Mobile ka ngritur shqetësime rreth ekspozimit të mundshëm të informacionit personal të identifikueshëm të përdoruesve dhe aksesit të paautorizuar në serverë. Incidenti që përfshin agjencinë e qeverisë norvegjeze thekson rëndësinë e masave proaktive të sigurisë dhe nevojën për korrigjimin e shpejtë të dobësive të softuerit. Kompanive dhe agjencive qeveritare u kërkohet të rishikojnë sistemet e tyre, të aplikojnë përditësimet e nevojshme dhe të ndjekin praktikat më të mira për menaxhimin e sigurt të softuerit për të parandaluar sulme të ngjashme në të ardhmen.

Lidhja e burimit