CVE-2024-21887

Injeção de comando nos componentes web do Ivanti Connect Secure e Ivanti Policy Secure, que permite a um administrador autenticado enviar requisições manipuladas e executar código arbitrário no appliance. O impacto real está em sua combinação com CVE-2023-46805 (bypass de autenticação): juntas, formam uma cadeia que dá RCE não autenticado, o que explica a exploração em massa observada a partir de janeiro de 2024.

A falha é uma command injection (CWE-77) em componentes web do ICS/IPS: dados de entrada de uma requisição HTTP são passados para uma função do sistema sem sanitização adequada, permitindo que um administrador autenticado injete comandos que o appliance executa com privilégios do processo web. O fornecedor descreve a vulnerabilidade isoladamente como exigindo privilégio administrativo (PR:H no vetor CVSS), o que por si só limitaria bastante o cenário de ataque.

O que tornou isso crítico não foi a falha isolada, mas o encadeamento com CVE-2023-46805, uma falha de autenticação nos mesmos componentes web que permite contornar controles de acesso e acessar restricted endpoints sem credenciais. Um atacante usa CVE-2023-46805 para obter o contexto de 'administrador autenticado' que CVE-2024-21887 exige, e então dispara a injeção de comando. O resultado da cadeia é execução de código arbitrário no appliance sem qualquer autenticação prévia — daí o CVSS de 9.1 nesta CVE individual subestimar o risco real quando as duas são combinadas.

Por estar em componentes de gerenciamento web expostos (muitas vezes na interface administrativa acessível pela internet, dependendo do deployment), a superfície de ataque é a própria interface de gestão do produto, não uma funcionalidade de borda opcional.

Na prática, a exploração observada por pesquisadores e reportada por múltiplas organizações de resposta a incidentes usa a cadeia CVE-2023-46805 + CVE-2024-21887: o atacante primeiro contorna a autenticação (CVE-2023-46805) para alcançar um endpoint da interface web normalmente restrito a administradores, e então envia a requisição que dispara a injeção de comando (CVE-2024-21887). Não há necessidade de credenciais válidas quando as duas falhas são encadeadas — apenas acesso de rede à interface de gerenciamento do appliance.

A CVE está no catálogo KEV da CISA desde 10/01/2024, com confirmação de exploração ativa antes mesmo da divulgação pública coordenada, o que indica que grupos de ataque (incluindo atores estatais, segundo relatos de pesquisadores da época) já tinham 0-day nessas falhas. Existem módulo Metasploit, template Nuclei e PoC pública, o que baixou drasticamente a barreira técnica para exploração em massa após a divulgação — scanners automatizados passaram a varrer a internet em busca de appliances vulneráveis em poucos dias.

O resultado final da cadeia é execução de código no appliance com potencial para webshell persistente, movimento lateral na rede via VPN comprometida (dado que ICS é frequentemente o gateway de acesso remoto corporativo) e exfiltração de credenciais de sessão e configuração.

O fornecedor publicou mitigações e, posteriormente, patches — a página de referência oficial do Ivanti (forums.ivanti.com) deve ser consultada para as versões exatas de correção por linha de produto (9.x e 22.x), pois não há aqui confirmação de números de build específicos verificados de forma independente das fontes fornecidas. Aplicar a atualização do fornecedor para a versão corrigida é a única mitigação completa: a falha exige mudança de código, não apenas configuração.

Quando o patch não pode ser aplicado imediatamente, a CISA recomendou aplicar as mitigações publicadas pelo fornecedor ou, na ausência de mitigação viável, descontinuar o uso do produto — orientação incomum que reflete a gravidade percebida da cadeia de exploração. Isso normalmente envolve desabilitar temporariamente funcionalidades específicas da interface administrativa expostas externamente, conforme instrução do fornecedor; sem acesso a esse detalhe exato aqui, o operador deve seguir o artigo oficial do Ivanti linkado abaixo.

Não funciona como mitigação: apenas restringir acesso via VPN ou firewall sem aplicar o patch, pois a interface de gerenciamento frequentemente é o próprio alvo e, uma vez que um atacante tenha qualquer caminho de rede até ela, a cadeia de exploração não exige credenciais. Organizações que identificaram indícios de comprometimento anterior à aplicação do patch devem tratar o appliance como potencialmente comprometido e considerar reconstrução completa, não apenas atualização — webshells e persistência foram reportados em campanhas ligadas a essa cadeia.

Nos logs de acesso web do appliance, procurar por requisições anômalas a endpoints administrativos vindas de IPs não associados a administradores legítimos, especialmente em sequência imediata a padrões associados à exploração de CVE-2023-46805 (acesso a caminhos restritos sem sessão autenticada prévia). Presença de webshells em diretórios do sistema de arquivos do appliance, processos filhos inesperados gerados pelo processo web, e alterações em arquivos de configuração fora de janelas de manutenção são indicadores de comprometimento pós-exploração amplamente reportados em incidentes ligados a essa cadeia.

Como a exploração observada ocorreu antes da divulgação pública (0-day) e envolveu atores sofisticados que limparam rastros, ausência de logs suspeitos não garante que o appliance não foi comprometido — o fornecedor e a CISA recomendaram verificação com ferramentas de integridade específicas do produto, não apenas revisão de log.