Ivanti, API 인증 우회 취약점에 대한 긴급 패치 출시

Aug 29, 2023

Ivanti Sentry(이전의 MobileIron Sentry) 제품의 심각도 취약성은 민감한 API 데이터 및 구성을 노출합니다.

에 의해

플립보드

레딧

핀터레스트

왓츠앱

왓츠앱

이메일

기업용 제품의 보안 결함으로 인한 Ivanti의 문제가 쌓이기 시작했습니다.

IT 소프트웨어 회사는 월요일 Ivanti Sentry(이전의 MobileIron Sentry) 제품의 심각한 심각도 취약점에 대한 긴급 패치를 출시했으며 해커가 이 문제를 악용하여 민감한 API 데이터 및 구성에 액세스할 수 있다고 경고했습니다.

CVE-2023-38035로 태그된 이 취약점은 Ivanti Sentry 버전 9.18 및 이전 버전에 영향을 미치며 악의적인 해커가 구성을 변경하거나 시스템 명령을 실행하거나 시스템에 파일을 쓰는 데 악용될 수 있다고 Ivanti는 권고를 통해 밝혔습니다.

“이 취약점을 악용하면 인증되지 않은 공격자가 관리자 포털(포트 8443, 일반적으로 MICS)에서 Ivanti Sentry를 구성하는 데 사용되는 일부 민감한 API에 액세스할 수 있습니다.”라고 회사는 말했습니다.

이 문제의 CVSS 심각도 점수는 9.8/10이지만 Ivanti는 포트 8443을 인터넷에 노출하지 않는 기업 관리자가 악용할 위험이 낮다고 지적합니다.

"Ivanti는 고객이 MICS에 대한 액세스를 내부 관리 네트워크로 제한하고 이를 인터넷에 노출하지 않을 것을 권장합니다"라고 회사는 말했습니다.

Ivanti는 "CVE-2023-38035의 영향을 받는 제한된 수의 고객을 알고 있다"고 말했지만 이 문제가 실제로 제로데이로 악용되고 있는지는 아직 확실하지 않습니다.

Ivanti의 보안 문제는 Avalanche Enterprise MDM 제품 라인의 심각한 결함에 대한 패치 출시, Ivanti EPMM의 취약점에 대한 실제 악용 및 Ivanti 제로 데이 결함을 목표로 하는 문서화된 APT 활동으로 최근 몇 달 동안 확대되었습니다.

관련된:Ivanti, Avalanche Enterprise MDM 제품의 심각한 결함 패치

관련된:Ivanti EPMM 취약점 악용 발견

관련된:APT는 최소 4월부터 Ivanti 제로데이를 악용했습니다.

관련된:두 번째 Ivanti EPMM 제로데이 버그가 표적 공격에 악용됨

Ryan Naraine은 SecurityWeek의 편집장이자 인기 있는 Security Conversations 팟캐스트 시리즈의 진행자입니다. 그는 Intel Corp., Bishop Fox, GReAT 등 주요 글로벌 브랜드에서 프로그램을 구축한 보안 커뮤니티 참여 전문가입니다. Ryan은 비영리 Security Tinkerers의 창립 이사이자 초기 단계 기업가의 고문이며 전 세계 보안 컨퍼런스에서 정기적으로 연설하고 있습니다.

SecurityWeek 이메일 브리핑을 구독하여 업계 전문가의 통찰력 있는 칼럼과 함께 최신 위협, 동향, 기술에 대한 정보를 받아보세요.

보안 전문가와 함께 사이버 위험을 줄이고 비즈니스 역량을 강화할 수 있는 ZTNA의 미개척 잠재력에 대해 논의해 보세요.

소프트웨어 공급망 보안을 위한 새로운 전략을 소개하는 웹 세미나에 Microsoft와 Finite State에 참여하세요.

SEC 사이버 사고 공개 규칙이 발효됨에 따라 조직은 보안 리더에게 테이블에 자리를 주는 것을 진지하게 고려해야 할 것입니다.(Marc Solomon)

원격 근무는 계속 유지되어야 하며 기업에서는 기본 통신 형태가 적절하게 구성되고 보안되는지 계속 확인해야 합니다.(Matt Honea)

분산된 클라우드 환경의 복잡성과 과제로 인해 여러 인프라, 기술, 보안 스택, 여러 정책 엔진, 여러 제어 세트, 여러 자산 인벤토리를 관리해야 하는 경우가 많습니다.(Joshua Goldfarb)

자동화된 보안 제어 평가는 단순히 보안 제어의 존재 여부를 확인하는 것이 아니라 적절하고 일관된 보안 제어 구성을 확인함으로써 보안 태세를 강화합니다.(Torsten George)

컨텍스트는 그림을 완성하는 데 도움이 되며 보안 팀이 정보에 입각한 결정을 보다 신속하게 내리는 데 사용할 수 있는 실행 가능한 인텔리전스를 제공합니다.(Matt Wilson)