CVE-2026-104935

Nome do Software Vulnerável e Versões Afetadas Ivanti Connect Secure versões 25.1.1.1 até 25.1.2.2 Ivanti Connect Secure versões 22.8 até 22.8R2.4

Description Existe um problema de bypass de autenticação e execução remota de código (RCE) que permite a um atacante remoto não autenticado executar comandos arbitrários. Isso faz parte de uma cadeia de três falhas utilizada pelo ator de ameaças UTA0576 para obter acesso de nível root. O bypass de autenticação ocorre através do endpoint /dana-na/auth/url default/welcome.cgi ao falsificar o cabeçalho X-DSCGI-PATH para apontar para o manipulador wu.cgi. O RCE é alcançado através de uma condição de corrida no wu.cgi, onde um script Perl com a extensão .zip é temporariamente gravado em /home/runtime/tmp/<MD5(filename)> antes de ser excluído, permitindo uma janela de execução. Uma terceira falha de escalonamento de privilégios, que manipula a cópia em memória de libdsplibs.so para redirecionar tarefas de manutenção para o interpretador Perl, é usada para obter privilégios de root. Esta modificação específica apenas em memória permite que o ataque evite a ferramenta Ivanti Integrity Checker. A exploração no mundo real começou em 3 de outubro de 2026, visando credenciais do Active Directory, senhas LAPS e chaves de recuperação do BitLocker. O atacante utilizou scripts Python personalizados (como ml.py, rq5.py, mk.py, rr.py, sp run.py e h.py) e um binário tcpdump renomeado dsstatmond localizado em /data/.icscap/ para capturar tráfego LDAP, HTTP, FTP e Telnet em texto simples.

Recommendations Para as versões 25.1.1.1 até 25.1.2.2 do Ivanti Connect Secure, atualize para a versão 25.1.1.2 (para ISA6000 ou ISA8000) ou 25.1.3.0 ou posterior (para ISA4500, ISA6500 ou ISA8500). Para as versões 22.8 até 22.8R2.4 do Ivanti Connect Secure, atualize para a versão 22.8R2.5 ou migre para a versão 25.1.1.2 ou posterior. No momento, não há informações sobre uma versão mais recente que contenha a correção para o componente de escalonamento de privilégios desta cadeia. Restrinja o acesso ao endpoint /dana-na/auth/url default/welcome.cgi ou monitore solicitações que contenham cabeçalhos X-DSCGI-PATH apontando para wu.cgi ou caminhos /home/runtime/tmp/ como medida de mitigação.