Ivanti твърди, че е забелязала част от дефекта зад новоексплоатиран zero-day в Ivanti Connect Secure месеци преди нападателите да го използват, но е преценила, че проблемът не отговаря на критериите за извънредно издаване на актуализация. Според репортаж на CyberScoop, компанията е открила част от уязвимостта по време на вътрешни проверки за сигурност през юни. Когато поправката станала спешна, нападателите вече експлоатирали бъга в реални условия.

Именно тази последователност прави историята забележителна. Тя е по-малко за изненадваща уязвимост и повече за преценка, която не остаря добре.

Какво откри Ivanti през юни и защо изчака

Обяснението на Ivanti, както е обобщено от CyberScoop, е тясно, но важно. Вътрешните проверки на компанията са открили част от дефекта през юни. Ivanti след това го е оценила спрямо критериите си за извънредно издаване, тоест кръпка, пусната извън нормалния график за актуализации, и е заключила, че не достига този праг.

На практика доставчиците сортират констатациите по тежест, експлоатируемост и доказателства за злоупотреба. Бъг, който изглежда трудно достъпен или с нисък ефект сам по себе си, често изчаква следващата редовна актуализация. Уловката е, че компанията твърди, че е видяла само част от дефекта. Частичният изглед на уязвимост може да подцени колко опасна е тя, след като някой открие останалото.

Предоставеният тук изходен материал не описва подробно пълния технически характер на бъга, затова си струва да бъдем внимателни относно това какво се знае и какво не. Това, което се съобщава: датата на откриване, вътрешната оценка и решението да не се бърза с поправка.

Как уязвимостта се превърна в експлоатиран zero-day

Една уязвимост се превръща в zero-day, когато нападателите я експлоатират, преди да съществува кръпка. Това е ситуацията, докладвана за Connect Secure. Тъй като поправката не била пусната, защитниците нямали официално решение, когато започнала активната експлоатация.

Connect Secure е широко внедрен VPN шлюз и това има значение. Подобни шлюзове стоят в периферията на мрежата, по дизайн са изложени на интернет и често заемат привилегирована позиция между външни потребители и вътрешни системи. Слабост в един от тях е привлекателна за нападателите, защото едно компрометирано устройство може да предложи начин за проникване, без да се докосва лаптопът или пощенската кутия на служител.

Полезно е също да си припомним кой обикновено атакува този клас устройства. Нашият репортаж за това как Министерството на правосъдието и ФБР иззеха инструментите на Flax Typhoon Microscan и FishHub показва, че свързани с държави групи инвестират сериозно в инструменти, насочени към интернет-достъпна инфраструктура. Репортажът за Ivanti не приписва тази експлоатация на конкретен участник, така че третирайте това като контекст, а не като заключение.

Какво трябва да проверят администраторите на Connect Secure сега

Ако вашата организация използва Connect Secure, тези стъпки са разумна отправна точка:

  • Потвърдете версията си. Проверете точната софтуерна компилация на всеки шлюз, включително тестови и резервни устройства, които лесно се забравят.
  • Прочетете текущото предупреждение на Ivanti. Търсете кръпката или временното смекчаване, свързано с тази уязвимост, и го приложете възможно най-скоро, доколкото процесът ви за промени позволява.
  • Използвайте вградените инструменти за цялост. Ако Ivanti предоставя проверка за цялост на устройството, изпълнете я и запазете резултата за по-късно сравнение.
  • Прегледайте логовете за необичайна активност. Търсете неочаквани административни сесии, нови акаунти, странни изходящи връзки или промени в конфигурацията, които не сте правили.
  • Сменете идентификационните данни, където компрометиране е възможно. Нулирайте паролите и тайните, съхранявани на или използвани от шлюза, ако откриете признаци на злоупотреба. Излагането на идентификационни данни е отделен, често срещан проблем; констатациите на SpyCloud за водни комунални услуги, изложени на infostealer зловреден софтуер, са напомняне как откраднатите данни за вход могат да засилят риска от периферни устройства.
  • Ограничете излагането. Ограничете интерфейсите за управление, така че да не са достъпни от отворения интернет.

Ако не можете да приложите кръпката незабавно, следвайте указанията за смекчаване, публикувани от доставчика, и наблюдавайте устройството по-внимателно, докато можете.

Какво означават политиките за кръпки на доставчиците за доверието във VPN

Откритието през юни повдига основателен въпрос за това как доставчиците определят прага за спешни поправки. Извънредните кръпки са смущаващи за клиентите, затова доставчиците не искат да ги издават за всяка констатация. Но цената на изчакването е неравномерна, когато продуктът е шлюз за сигурност, който стои на периметъра.

Нито една от двете страни на този компромис не е неразумна на пръв поглед. Урокът е, че вътрешната оценка за тежест на доставчика не е същото като реален риск. Нападателите не се интересуват дали дадена уязвимост е класифицирана под прага за издаване; те се интересуват дали работи.

За клиентите това е аргумент да задават директни въпроси на доставчиците: Как решавате какво налага извънредна кръпка? Колко бързо уведомявате клиентите за вътрешно открити проблеми? Какво се случва, когато частично разбран бъг по-късно се окаже експлоатируем? Отговорите на тези въпроси казват повече за доверието, отколкото маркетинговата страница.

Какво означава това за вас

Ако сте физическо лице, което използва VPN от работодател или училище, разчитащо на Connect Secure, не можете сами да приложите кръпка на шлюза, но можете да действате. Попитайте вашия ИТ екип дали устройството е актуализирано, и използвайте силни, уникални пароли и многофакторна автентикация за всеки акаунт, свързан с него. Ако ви кажат да смените парола, направете го незабавно.

Ако управлявате шлюза, третирайте това като повод да прегледате целия си периферен инвентар, не само един продукт. Всяко интернет-достъпно устройство заслужава същото внимание към версия, излагане и логване.

Ключови изводи

Zero-day в Ivanti Connect Secure е напомняне, че прозорецът между откриването и поправката има значение също толкова, колкото и самата уязвимост. Ivanti твърди, че е открила част от дефекта през юни и е преценила, че е под прага за извънредно издаване; нападателите след това я достигнали първи.

Ако управлявате или зависите от шлюзове на Ivanti, проверете версията си днес, приложете най-новите кръпки и смекчавания и продължавайте да следите съветите за сигурност на Ivanti, докато ситуацията се развива. За по-широк контекст кой атакува периферни устройства и защо, прочетете нашия репортаж за изземването на инструментите на Flax Typhoon.