تم رصد سلسلة استغلال ثغرة يوم الصفر تستهدف أجهزة VPN من طراز Ivanti Connect Secure في البرية، وفقاً لتقرير صادر عن شركة الأمن Rescana. التأثير المُبلّغ عنه خطير: يمكن للمهاجمين غير المصادَق عليهم الوصول إلى تنفيذ الشيفرة عن بُعد بمستوى الجذر وسرقة بيانات الاعتماد، حتى على الأجهزة المُرقّعة بالكامل. يُعدّ استغلال ثغرة يوم الصفر في Ivanti Connect Secure تذكيراً بأن بوابة VPN الموجودة على حافة الشبكة هي واحدة من أكثر الأهداف قيمة التي يمكن للمهاجم اختيارها.
التقرير المصدر متاح لنا جزئياً فقط، لذا يلتزم هذا المقال بما هو مؤكد ويتجنب التكهن بالتفاصيل التقنية. وحيثما نقدم إرشادات، فهي ممارسات أمنية عامة وليست تعليمات صادرة عن البائع.
لماذا تعرّض جهاز VPN مُرقّع بالكامل للاختراق رغم ذلك
كلمة "يوم الصفر" تفسر معظم الأمر. ثغرة يوم الصفر هي عيب يستغله المهاجمون قبل وجود إصلاح، لذا فإن تثبيت كل تحديث متاح لا يحمي منها. الجهاز المُرقّع بالكامل محمي فقط ضد المشكلات المعروفة والمُصلحة بالفعل.
يصف التقرير سلسلة استغلال، أي عدة نقاط ضعف مرتبطة ببعضها. السلاسل شائعة في الهجمات الخطيرة لأن خطأً واحداً نادراً ما يمنح السيطرة الكاملة بمفرده. وعند دمجها، يمكن لسلسلة من العيوب الأصغر أن تنقل المهاجم من عدم وجود أي وصول على الإطلاق إلى السيطرة الكاملة على الجهاز، دون الحاجة إلى تسجيل دخول.
للسياق الزمني، سبق أن غطّى vpn.social معرفة Ivanti المسبقة بجزء من العيب. في ذلك التغطية، قالت Ivanti إنها رصدت جزءاً من العيب قبل أشهر من استخدام المهاجمين له، لكنها رأت أنه لا يستوفي معايير إصدار خارج الدورة المعتادة. هذا التاريخ مهم لأنه يُظهر كم يمكن أن تكون الفجوة طويلة بين ملاحظة البائع لمشكلة وحصول العملاء على إصلاح.
ماذا يعني وصول الجذر وسرقة بيانات الاعتماد للمستخدمين
الجذر هو أعلى مستوى صلاحيات في نظام قائم على Linux. المهاجم الذي يمتلك صلاحيات الجذر على جهاز VPN ليس محدوداً بما يمكن لمستخدم عادي فعله. يمكنه احتمالياً قراءة أو تغيير أي شيء يتعامل معه الجهاز، وتعديل إعداداته، وتشغيل شيفرته الخاصة.
سرقة بيانات الاعتماد هي الجزء الذي يؤثر على المستخدمين العاديين أكثر من غيره. يعالج جهاز VPN عمليات تسجيل دخول الموظفين والمتعاقدين والشركاء. إذا تمكن مهاجم من التقاط بيانات الاعتماد هذه، فقد يمتد الضرر إلى ما هو أبعد بكثير من الجهاز:
- يمكن إعادة استخدام أسماء المستخدمين وكلمات المرور المسروقة للوصول إلى الأنظمة الداخلية والبريد الإلكتروني والخدمات السحابية.
- يمكن أن تبدو الحسابات المخترقة كعمال عن بُعد شرعيين، مما يجعل الأنشطة الخبيثة أصعب في الاكتشاف.
- قد يحتفظ المهاجمون بالوصول عبر بيانات الاعتماد المسروقة حتى بعد تنظيف الجهاز نفسه.
إذا كنت تتصل بمكان عملك عبر Connect Secure، فإن الخطر العملي هو أن بيانات تسجيل دخولك قد تكون مكشوفة دون أن تفعل أي شيء خاطئ.
كيفية التحقق مما إذا كان جهاز Connect Secure الخاص بك مكشوفاً
إذا كنت تشغّل Ivanti Connect Secure، افترض أنه هدف محتمل حتى تثبت العكس. بعض الفحوصات المعقولة:
- تأكد من مدى تعرضك. اكتشف ما إذا كان الجهاز يمكن الوصول إليه من الإنترنت ومن يمكنه الوصول إلى واجهة إدارته. أي شيء لا يحتاج إلى أن يكون عاماً لا ينبغي أن يكون كذلك.
- راقب تنبيهات Ivanti. البائع هو المصدر الموثوق للإصلاحات الرسمية والتخفيفات وإرشادات الاكتشاف، وقد تتغير هذه التفاصيل مع استمرار التحقيق.
- استخدم أدوات السلامة الخاصة بالبائع. إذا وفّرت Ivanti أداة فحص سلامة أو أداة مشابهة لمنتجك، فشغّلها. تعامل مع نتيجة نظيفة ببعض الحذر، لأن مهاجماً بمستوى الجذر قد يتلاعب بما يُبلّغ عنه الجهاز عن نفسه.
- راجع السجلات. ابحث عن عمليات تسجيل دخول غير عادية، وتغييرات إدارية غير متوقعة، واتصالات صادرة غريبة، ونشاط مصادقة في ساعات غريبة أو من مواقع غير مألوفة.
- اسأل فريقك الأمني أو مزوّدك. إذا لم تكن أنت المسؤول، اسألهم مباشرة عما إذا تم فحص الجهاز.
خطوات التخفيف: تدوير بيانات الاعتماد، والمراقبة، وطبقات الدفاع
لأن الترقيع لا يمكنه حل مشكلة يوم الصفر بالكامل، يجب أن يكون الدفاع متعدد الطبقات.
- دوّر بيانات الاعتماد. إذا كان الاختراق ممكناً، غيّر كلمات المرور لمستخدمي VPN وحسابات الخدمة وأي أسرار مخزنة على الجهاز أو تمر عبره. افعل ذلك بعد تأمين الجهاز، وإلا فقد تُلتقط بيانات الاعتماد الجديدة أيضاً.
- فرض المصادقة متعددة العوامل. تحدّ مما يمكن لكلمات المرور المسروقة وحدها فعله، رغم أنها ليست حلاً كاملاً إذا كان المهاجم يسيطر على البوابة نفسها.
- قسّم الشبكة. يجب أن يصل مستخدمو VPN فقط إلى الأنظمة التي يحتاجونها، حتى لا يتمكن حساب أو جهاز مخترق من التحرك بحرية.
- راقب باستمرار. أرسل سجلات الجهاز إلى نظام منفصل لا يمكن للجهاز تعديله، ونبّه عند الشذوذات.
- خطّط لإعادة البناء. إذا وجدت علامات اختراق، اتبع إرشادات البائع بشأن إعادة بناء الجهاز بدلاً من افتراض أن تنظيفاً بسيطاً كافٍ.
ما يعنيه هذا لك
إذا كنت مسؤولاً، فالدرس هو أن حالة الترقيع ليست نفسها الأمان. تحتاج أجهزة الحافة إلى المراقبة وتقييد التعرض وخطة للحوادث، وليس فقط التحديثات. إذا كنت مستخدم VPN في مؤسسة تشغّل Connect Secure، فأنت لا تتحكم في الجهاز، لكن يمكنك تغيير كلمة مرورك، وتمكين المصادقة متعددة العوامل حيثما توفرت، والإبلاغ عن أي شيء غريب، مثل مطالبات تسجيل الدخول غير المتوقعة أو التنبيهات الأمنية.
الخطوات التالية
راجع تعرضك لاستغلال ثغرة يوم الصفر في Ivanti Connect Secure اليوم: تحقق ممن يمكنه الوصول إلى الجهاز، واقرأ أحدث إرشادات Ivanti، ودوّر بيانات الاعتماد إذا وُجد أي علامة على اختراق. للحصول على خلفية عن كيفية تطور الجدول الزمني للإفصاح والترقيع، اقرأ تقريرنا السابق حول اكتشاف Ivanti للعيب في يونيو دون إصدار إصلاح. قد تتغير تفاصيل سلسلة الاستغلال هذه مع ظهور مزيد من المعلومات، لذا استمر في متابعة المصادر الرسمية.
