El pasado mes de octubre la NSA publicó un informe con las 25 principales vulnerabilidades explotadas por grupos organizados patrocinados por el gobierno chino. Entre ellas se encuentra la CVE-2020-15505, que afecta a sistemas de gestión de dispositivos móviles (MDM) desarrollados por la empresa MobileIron, que fue adquirida por Ivanti en septiembre. 9,8 sobre 10 en la escala de gravedad CVSS, lo que lo hace crítico. Aunque el error se corrigió en junio,  una prueba de concepto (PoC) publicada en septiembre ha disparado la gravedad.

• MobileIron proporciona una plataforma que permite a las empresas administrar los dispositivos móviles de los usuarios finales en toda su empresa

Defecto crítico de MobileIron RCE bajo ataque activo

Los atacantes están apuntando a la falla crítica de ejecución remota de código para comprometer los sistemas en los sectores de salud, gobierno local, logística y legal, entre otros.

Los grupos de amenazas persistentes avanzadas (APT) están explotando activamente una vulnerabilidad en las soluciones de seguridad de administración de dispositivos móviles de MobileIron, advierte un nuevo aviso.

El problema en cuestión (CVE-2020-15505) es un error de ejecución de código remoto (RCE). Ocupa un lugar 9,8 sobre 10 en la escala de gravedad CVSS, lo que lo hace crítico. La falla se corrigió en junio, sin embargo, una vulnerabilidad de prueba de concepto (PoC) estuvo disponible en septiembre. Desde entonces, tanto los actores estatales hostiles como los ciberdelincuentes han intentado explotar la falla en el Reino Unido, según un nuevo aviso del Centro Nacional de Seguridad Cibernética (NCSC).

• Prueba de Concetpo (PoC):
• https://github.com/httpvoid/CVE-Reverse/tree/master/CVE-2020-15505

“Estos actores normalmente escanean las redes de víctimas para identificar vulnerabilidades, incluido CVE-2020-15505, que se utilizarán durante la focalización”, dijo el NCSC en un aviso esta semana. "En algunos casos, cuando las últimas actualizaciones no están instaladas, han comprometido con éxito los sistemas".

• https://www.ncsc.gov.uk/news/alert-multiple-actors-attempt-exploit-mobileiron-vulnerability

El NCSC dijo que los sectores de la salud, el gobierno local, la logística y el legal han sido atacados, pero otros también podrían verse afectados.

Por otra parte, la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) advirtió en octubre que los grupos APT están explotando la falla de MobileIron en combinación con la vulnerabilidad grave de Microsoft Windows Netlogon / Zerologon (CVE-2020-1472).

El fallo, informada por primera vez a MobileIron por Orange Tsai de DEVCORE, podría permitir que un atacante ejecute exploits remotos sin autenticación.

Mobile device management (MDM)

La falla existe en varios componentes de esta plataforma: en MobileIron Core, un componente de la plataforma MobileIron que sirve como consola administrativa; y en MobileIron Connector, un componente que agrega conectividad en tiempo real al backend. También se ve afectado Sentry, una puerta de enlace en línea que administra, cifra y protege el tráfico entre el dispositivo móvil y los sistemas empresariales de back-end; y Base de datos de supervisión y generación de informes, que proporciona una funcionalidad integral de gestión del rendimiento.

El error afecta a las versiones 10.3.0.3 y anteriores de Core y Connector, 10.4.0.0, 10.4.0.1, 10.4.0.2, 10.4.0.3, 10.5.1.0, 10.5.2.0 y 10.6.0.0; y Sentry versiones 9.7.2 y anteriores, y 9.8.0; y Monitor and Reporting Database (RDB) versión 2.0.0.1 y anterior que permite a atacantes remotos ejecutar código arbitrario a través de vectores no especificados.

Parches

MobileIron, por su parte, dijo en una actualización de esta semana que ha estado participando en un "alcance proactivo para ayudar a los clientes a proteger sus sistemas" y estima que del 90 al 95 por ciento de todos los dispositivos ahora se administran en versiones de software parcheadas / actualizadas.

Si bien la compañía dijo que continuará haciendo un seguimiento con los clientes restantes cuando podamos determinar que aún no han parcheado los productos afectados, insta encarecidamente a las compañías a asegurarse de que estén actualizados.

“MobileIron recomienda encarecidamente que los clientes apliquen estos parches y cualquier actualización de seguridad lo antes posible”, dijo la compañía en su actualización de seguridad.

Fuentes:

https://threatpost.com/critical-mobileiron-rce-flaw-attack/161600/

https://unaaldia.hispasec.com/2020/11/el-azote-de-una-vulnerabilidad-que-permite-el-control-de-los-dispositivos-de-tu-empresa.html