Volexity 发现利用三个零日漏洞的隐秘 Ivanti VPN 攻击

爱拍照的老李
爱拍照的老李

爱拍照的老李

2026年10月16日 09:00
湖北

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

导读

Ivanti VPN 零日漏洞可让攻击者获取根权限、窃取凭据、逃避检测，并为更广泛的网络入侵做准备。

10月5日，Volexity开始调查其一位监控客户的可疑活动，并将所有线索追溯到一台运行22.8R2.4版本的Ivanti Connect Secure VPN设备，这是当时最新的版本。三个链式零日漏洞让一名未知攻击者获得了无需身份验证的root权限。

“2026年10月的第一周，Volexity发现了一名未知的威胁参与者UTA0576，其利用零日漏洞利用链入侵了一台已完全打补丁（当时版本为22.8R2.4）的Ivanti Connect Secure（ICS）VPN设备。”

Volexity表示：“该漏洞利用链结合了身份验证绕过、远程代码执行（RCE）和权限提升漏洞，实现了无需身份验证的根级代码执行。远程代码执行和身份验证绕过漏洞已被收录为CVE-2026-104935。”

被追踪为UTA0576的攻击者至少自10月3日起就已侵入该设备，两天后才有人发现。Ivanti于10月13日为三个漏洞中的两个发布了补丁，而权限提升修复程序仍将在未来版本中推出。

第一个漏洞影响的是公共登录页面 welcome.cgi。攻击者向该页面发送请求，该请求可通过身份验证检查，同时在 HTTP 头部中包含受保护的内部脚本的路径。系统会检查 URL 来决定是否允许该请求，却会使用头部来决定请求的发送目标。这种不匹配使得攻击者能够绕过身份验证。

攻击者随后通过另一个端点上传一个伪装成ZIP文件的Perl脚本。服务器保存该文件，检查其是否为有效的ZIP归档文件，若检查失败则安排删除该文件。在文件被删除前，攻击者向其在磁盘上的可预测位置发送多个请求。如果有请求及时访问到该文件，脚本就会执行。导致身份验证绕过和可实现远程代码执行的竞争条件漏洞，均被记录在CVE-2026-104935中。

第三步从权限受限的 Web 服务器用户权限升级为完整的 root 权限。名为 dsinvoked 的特权后台服务以 root 身份运行维护任务，并在共享配置存储中查找要执行的程序。

UTA0576 对该存储进行内存补丁处理，将一个合法任务重定向到 Perl 解释器，触发该任务后即可获得 root 执行权限。随后所有内容会被静默恢复到原始状态。

Volexity发现，此次攻击修改了内存中的代码，但恢复了配置数据，这也就解释了为何Ivanti的完整性检查工具未检测到任何异常。该工具仅检查存储在磁盘上的文件，而此次攻击并未在磁盘上留下任何永久性修改。

每当UTA0576执行一条命令，攻击者就会重复整个攻击链。他们通过正常的HTTPS响应获取结果，而非使用持久化后门或网页木马。他们还从Ivanti调试日志和Linux审计日志中删除了与本次攻击相关的指定条目，临时文件在使用后也会被自动清除。

攻击者将一个数据包捕获工具伪装成重命名后的可执行文件，藏在普通文件列表中不会显示的目录里，同时使用八个轮换的捕获文件，让旧的网络流量数据被覆盖。

进入系统后，UTA0576 直接获取了凭证。攻击者部署了一款定制的 Python LDAP 工具，该工具通过 VPN 设备自身的服务账户向内部域控制器完成身份验证，并在 Active Directory 中专门搜索 LAPS 本地管理员密码、BitLocker 恢复密钥以及任何包含明文密码的属性。查询结果经过压缩和编码后，通过同一漏洞利用通道被窃取回外部。

攻击者还运行了数据包捕获工具，从已流经设备的LDAP流量中获取明文凭据，开发了可执行Kerberoasting攻击的自定义Kerberos实现，并针对Active Directory账户开展了密码喷洒攻击活动。

“Volexity 的法医调查显示，在入侵工业控制系统（ICS）VPN 设备后，UTA0576 立即开始开展侦察、窃取凭证并窃取数据。由于该操作被检测并阻断，威胁行为体的最终目标无法确定。”

Volexity 补充道。“Volexity 高度有把握地评估，UTA0576 的行为表明其已准备好进行横向移动，并对受害网络展开更广泛的入侵。”

Volexity公司有中等把握认为，UTA0576 利用大型语言模型（LLMs）开发漏洞利用程序并开展后渗透活动。

这一结论并非定论，但这种归因细节正开始更频繁地出现在事件报告中，也符合单个操作员完成原本需要团队协作才能完成的工作这一趋势。

“Volexity公司的法医调查显示，在入侵工业控制系统VPN设备后，UTA0576立即开始开展侦察、窃取凭证并窃取数据。”报告总结道。“由于该行动被发现并遭到破坏，威胁行为者的最终目标无法确定。”

攻击者的动机目前仍不明确，但攻击目标表明这可能是出于犯罪动机，而非间谍活动。请立即应用补丁，不要仅因为完整性检查器未发现任何问题就认为你的设备是安全的。

本周，美国网络安全与基础设施安全局（CISA）将 Ivanti Connect Secure FortiMail 漏洞 CVE-2026-104935（CVSS 评分为 8.6）纳入其 已知被利用漏洞（KEV）目录。

技术报告：

https://www.volexity.com/blog/2026/10/13/a-series-of-unauthenticated-events-chained-exploitation-of-ivanti-connect-secure-zero-days/

新闻链接：

https://securityaffairs.com/200895/hacking/volexity-uncovers-stealthy-ivanti-vpn-attack-using-three-zero-day-vulnerabilities.html

扫码关注

爱拍照的老李

讲述普通人能听懂的安全故事