تقول Ivanti إنها رصدت جزءًا من الخلل الكامن وراء ثغرة يوم الصفر في Ivanti Connect Secure التي جرى استغلالها حديثًا قبل أشهر من استخدام المهاجمين لها، لكنها قررت أن المشكلة لا تستوفي معايير إصدار خارج الدورة المعتادة. وفقًا لتقرير من CyberScoop، اكتشفت الشركة جزءًا من الخلل خلال فحوصات أمنية داخلية في يونيو. وبحلول الوقت الذي أصبح فيه الإصلاح عاجلًا، كان المهاجمون يستغلون الثغرة بالفعل في الواقع.
هذا التسلسل هو ما يجعل هذه القصة جديرة بالملاحظة. فهي ليست بقدر ما تتعلق بثغرة مفاجئة، بل بقرار تقديري لم يصمد مع مرور الوقت.
ما اكتشفته Ivanti في يونيو ولماذا انتظرت
شرح Ivanti، كما لخّصه CyberScoop، ضيق النطاق لكنه مهم. فقد كشفت فحوصاتها الداخلية عن جزء من الخلل في يونيو. ثم قيّمت Ivanti الأمر وفق معاييرها للإصدار خارج الدورة المعتادة، أي تصحيح يُطرح خارج دورة التحديثات المجدولة العادية، وخلصت إلى أنه لا يستوفي هذا الحد.
عمليًا، تصنّف الشركات المصنّعة النتائج حسب الخطورة وقابلية الاستغلال ووجود أدلة على إساءة الاستخدام. والخلل الذي يبدو صعب الوصول أو منخفض التأثير بحد ذاته غالبًا ما ينتظر التحديث الدوري التالي. والمفارقة أن الشركة تقول إنها رأت جزءًا فقط من الخلل. والنظرة الجزئية لثغرة ما قد تقلل من تقدير خطورتها بمجرد أن يكتشف شخص ما بقيتها.
لا تفصّل المواد المصدرية المتاحة هنا الطبيعة التقنية الكاملة للخلل، لذا يجدر الحذر بشأن ما هو معروف وما هو غير معروف. وما ورد في التقرير: تاريخ الاكتشاف، والتقييم الداخلي، وقرار عدم التعجيل بإصدار إصلاح.
كيف تحوّلت الثغرة إلى يوم صفر مُستغَل
تصبح الثغرة "يوم صفر" عندما يستغلها المهاجمون قبل وجود تصحيح. وهذا هو الوضع المُبلَّغ عنه في Connect Secure. ولأن الإصلاح لم يُطرح، لم يكن لدى المدافعين أي علاج رسمي عند بدء الاستغلال النشط.
يُعد Connect Secure بوابة VPN منتشرة على نطاق واسع، وهذا مهم. فالبوابات كهذه تقع عند حافة الشبكة، وتواجه الإنترنت بحكم تصميمها، وغالبًا ما تحتل موقعًا مميزًا بين المستخدمين الخارجيين والأنظمة الداخلية. وضعف إحداها جاذب للمهاجمين لأن جهازًا واحدًا مخترقًا يمكن أن يوفر طريقًا للدخول دون لمس حاسوب موظف أو بريده الوارد.
من المفيد أيضًا تذكّر من يستهدف عادةً هذه الفئة من الأجهزة. يُظهر تغطيتنا لكيفية مصادرة وزارة العدل ومكتب التحقيقات الفيدرالي لأدوات Flax Typhoon المسماة Microscan وFishHub أن الجماعات المرتبطة بالدول تستثمر بكثافة في أدوات تستهدف البنية التحتية المواجهة للإنترنت. ولا ينسب تقرير Ivanti هذا الاستغلال إلى أي جهة فاعلة معينة، لذا تعامل مع ذلك كسياق لا كاستنتاج.
ما الذي ينبغي لمسؤولي Connect Secure التحقق منه الآن
إذا كانت مؤسستك تشغّل Connect Secure، فهذه الخطوات نقطة انطلاق معقولة:
- تأكد من إصدارك. تحقق من إصدار البرنامج الدقيق على كل بوابة، بما في ذلك وحدات الاختبار والتبديل الاحتياطي التي يسهل نسيانها.
- اقرأ إرشاد Ivanti الحالي. ابحث عن التصحيح أو التخفيف المؤقت المرتبط بهذا الخلل، وطبّقه في أقرب وقت تسمح به عملية التغيير لديك.
- استخدم أي أدوات تحقق من السلامة المدمجة. إذا وفّرت Ivanti أداة للتحقق من سلامة الجهاز، فشغّلها، واحتفظ بمخرجاتها للمقارنة لاحقًا.
- راجع السجلات بحثًا عن نشاط غير معتاد. ابحث عن جلسات إدارية غير متوقعة، أو حسابات جديدة، أو اتصالات صادرة غريبة، أو تغييرات في الإعدادات لم تقم بها.
- بدّل بيانات الاعتماد حيث يكون الاختراق ممكنًا. أعد ضبط كلمات المرور والأسرار المخزنة على البوابة أو المستخدمة من قِبلها إذا وجدت علامات على إساءة الاستخدام. وکشف بيانات الاعتماد مشكلة منفصلة وشائعة؛ ونتائج SpyCloud حول 1,800 منشأة للمياه معرّضة لبرمجيات سرقة المعلومات الخبيثة تذكير بكيفية تفاقم بيانات الدخول المسروقة لمخاطر أجهزة الحافة.
- حدّ من التعرّض. قيّد واجهات الإدارة بحيث لا تكون قابلة للوصول من الإنترنت المفتوح.
إذا لم تستطع التصحيح فورًا، فاتبع أي إرشادات تخفيف نشرتها الشركة المصنّعة وراقب الجهاز عن كثب حتى تتمكن من ذلك.
ماذا تعني سياسات التصحيح لدى الشركات المصنّعة لثقة VPN
يثير اكتشاف يونيو سؤالًا مشروعًا حول كيفية تحديد الشركات المصنّعة لحد الإصلاحات العاجلة. فالإصدارات خارج الدورة معطِّلة للعملاء، لذا لا ترغب الشركات في إصدارها لكل نتيجة. لكن تكلفة الانتظار غير متكافئة عندما يكون المنتج بوابة أمنية تقع على المحيط.
لا يبدو أي من جانبي هذه المقايضة غير معقول ظاهريًا. والدرس هو أن تصنيف الخطورة الداخلي لدى الشركة المصنّعة ليس هو نفسه المخاطر الواقعية. فالمهاجمون لا يهمهم ما إذا صُنّفت ثغرة كأقل من حد الإصدار؛ ما يهمهم هو ما إذا كانت تعمل.
بالنسبة للعملاء، يدعو هذا إلى طرح أسئلة مباشرة على الشركات المصنّعة: كيف تقررون ما يستدعي إصلاحًا خارج الدورة؟ وكم من الوقت تستغرقون لإخطار العملاء بالمشكلات المكتشفة داخليًا؟ وماذا يحدث عندما يُكتشف لاحقًا أن خللًا مفهومًا جزئيًا قابل للاستغلال؟ الإجابات على هذه الأسئلة تقول عن الثقة أكثر مما تقوله صفحة تسويقية.
ماذا يعني هذا لك
إذا كنت فردًا يستخدم VPN من جهة عمل أو مدرسة تعتمد على Connect Secure، فلا يمكنك تصحيح البوابة بنفسك، لكن يمكنك التصرف. اسأل فريق تقنية المعلومات لديك ما إذا جرى تحديث الجهاز، واستخدم كلمات مرور قوية وفريدة ومصادقة متعددة العوامل على أي حساب يتصل به. وإذا طُلب منك تغيير كلمة مرور، فافعل ذلك فورًا.
وإذا كنت تدير البوابة، فاعتبر هذا دعوة لمراجعة جردك الكامل لأجهزة الحافة، لا منتجًا واحدًا فقط. فأي جهاز مواجه للإنترنت يستحق الاهتمام نفسه بالإصدار والتعرّض والتسجيل.
النقاط الرئيسية
ثغرة يوم الصفر في Ivanti Connect Secure تذكير بأن النافذة بين الاكتشاف والإصلاح لا تقل أهمية عن الثغرة نفسها. تقول Ivanti إنها اكتشفت جزءًا من الخلل في يونيو وحكمت بأنه أقل من حد الإصدار خارج الدورة؛ ثم وصل إليه المهاجمون أولًا.
إذا كنت تشغّل بوابات Ivanti أو تعتمد عليها، فتحقق من إصدارك اليوم، وطبّق أحدث التصحيحات والتخفيفات، وواصل متابعة إرشادات الأمان من Ivanti مع تطور الوضع. ولمزيد من السياق حول من يستهدف أجهزة الحافة ولماذا، اقرأ تقريرنا عن مصادرة أدوات Flax Typhoon.
