Podle zprávy bezpečnostní firmy Rescana byl v praxi pozorován řetězec zneužití zero-day zranitelnosti cílící na VPN zařízení Ivanti Connect Secure. Uváděný dopad je vážný: neautentizovaní útočníci mohou dosáhnout vzdáleného spuštění kódu na úrovni roota a ukrást přihlašovací údaje, a to i na plně aktualizovaných zařízeních. Toto zneužití zero-day zranitelnosti Ivanti Connect Secure je připomínkou, že VPN brána na okraji sítě je jedním z nejcennějších cílů, které si útočník může vybrat.
Zdrojová zpráva je nám dostupná jen částečně, proto se tento článek drží toho, co je potvrzeno, a vyhýbá se spekulacím o technických podrobnostech. Tam, kde nabízíme doporučení, jde o obecnou bezpečnostní praxi, nikoli o pokyny vydané výrobcem.
Proč bylo plně aktualizované VPN zařízení přesto kompromitováno
Slovo „zero-day“ vysvětluje většinu. Zero-day je chyba, kterou útočníci zneužijí dříve, než existuje oprava, takže instalace všech dostupných aktualizací před ní nechrání. Plně aktualizované zařízení je chráněno pouze proti problémům, které jsou již známé a opravené.
Zpráva popisuje řetězec zneužití, tedy několik propojených slabin. Řetězce jsou u vážných útoků běžné, protože jedna chyba sama o sobě málokdy poskytne plnou kontrolu. Série menších chyb může útočníka dovést od žádného přístupu k úplné kontrole nad zařízením, a to bez nutnosti přihlášení.
Pro kontext ohledně načasování již vpn.social pokrylo dřívější povědomí společnosti Ivanti o části této chyby. V tomto pokrytí Ivanti uvedla, že část defektu zaznamenala měsíce předtím, než jej útočníci zneužili, ale usoudila, že nesplňuje kritéria pro vydání mimořádné aktualizace. Tato historie je důležitá, protože ukazuje, jak dlouhá může být mezera mezi tím, kdy si výrobce problému všimne, a tím, kdy zákazníci dostanou opravu.
Co znamená přístup root a krádež přihlašovacích údajů pro uživatele
Root je nejvyšší úroveň oprávnění v systému založeném na Linuxu. Útočník s rootem na VPN zařízení není omezen tím, co by mohl dělat běžný uživatel. Může potenciálně číst nebo měnit cokoli, co zařízení zpracovává, upravovat jeho konfiguraci a spouštět vlastní kód.
Krádež přihlašovacích údajů je část, která nejvíce zasahuje běžné uživatele. VPN zařízení zpracovává přihlášení zaměstnanců, dodavatelů a partnerů. Pokud útočník dokáže tyto přihlašovací údaje zachytit, škody se mohou šířit daleko za samotné zařízení:
- Ukradená uživatelská jména a hesla lze znovu použít pro přístup k interním systémům, e-mailu a cloudovým službám.
- Kompromitované účty mohou vypadat jako legitimní vzdálení pracovníci, což ztěžuje odhalení škodlivé aktivity.
- Útočníci si mohou udržet přístup prostřednictvím ukradených přihlašovacích údajů i poté, co je samotné zařízení vyčištěno.
Pokud se ke svému pracovišti připojujete přes Connect Secure, praktickým rizikem je, že vaše přihlašovací údaje mohou být odhaleny, aniž byste udělali cokoli špatně.
Jak zjistit, zda je vaše zařízení Connect Secure vystaveno
Pokud provozujete Ivanti Connect Secure, považujte jej za možný cíl, dokud nebudete mít důkazy o opaku. Několik rozumných kontrol:
- Potvrďte své vystavení. Zjistěte, zda je zařízení dostupné z internetu a kdo může přistupovat k jeho rozhraní pro správu. Vše, co nemusí být veřejné, by veřejné být nemělo.
- Sledujte doporučení společnosti Ivanti. Výrobce je autoritativním zdrojem pro oficiální opravy, zmírnění a pokyny k detekci a tyto podrobnosti se mohou v průběhu vyšetřování měnit.
- Použijte nástroje výrobce pro kontrolu integrity. Pokud Ivanti pro váš produkt poskytuje kontrolu integrity nebo podobný nástroj, spusťte jej. K čistému výsledku přistupujte s určitou opatrností, protože útočník na úrovni roota může manipulovat s tím, co zařízení o sobě hlásí.
- Projděte logy. Hledejte neobvyklá přihlášení, neočekávané administrativní změny, podivná odchozí připojení a autentizační aktivitu v podivných hodinách nebo z neznámých míst.
- Zeptejte se svého bezpečnostního týmu nebo poskytovatele. Pokud nejste správcem, zeptejte se jich přímo, zda bylo zařízení zkontrolováno.
Kroky ke zmírnění: rotace přihlašovacích údajů, monitorování a vrstvená obrana
Protože oprava nemůže problém zero-day plně vyřešit, musí být obrana vrstvená.
- Rotujte přihlašovací údaje. Pokud je kompromitace možná, změňte hesla pro uživatele VPN, servisní účty a všechna tajemství uložená v zařízení nebo procházející zařízením. Udělejte to poté, co zabezpečíte zařízení, jinak mohou být nové přihlašovací údaje také zachyceny.
- Vynucujte vícefaktorové ověřování. Omezuje to, co samotná ukradená hesla mohou způsobit, i když to není úplná odpověď, pokud útočník ovládá samotnou bránu.
- Segmentujte síť. Uživatelé VPN by měli dosáhnout pouze na systémy, které potřebují, aby se kompromitovaný účet nebo zařízení nemohlo volně pohybovat.
- Monitorujte nepřetržitě. Posílejte logy zařízení do samostatného systému, který zařízení nemůže měnit, a upozorňujte na anomálie.
- Plánujte obnovu. Pokud najdete známky kompromitace, postupujte podle pokynů výrobce k obnovení zařízení, místo abyste předpokládali, že jednoduché vyčištění stačí.
Co to znamená pro vás
Pokud jste správce, ponaučením je, že stav záplat není totéž jako bezpečnost. Okrajová zařízení potřebují monitorování, omezené vystavení a plán reakce na incidenty, ne jen aktualizace. Pokud jste uživatel VPN v organizaci, která provozuje Connect Secure, zařízení neovládáte, ale můžete změnit své heslo, zapnout vícefaktorové ověřování tam, kde je nabízeno, a nahlásit cokoli podivného, například neočekávané výzvy k přihlášení nebo bezpečnostní upozornění.
Další kroky
Zkontrolujte ještě dnes své vystavení zneužití zero-day zranitelnosti Ivanti Connect Secure: zjistěte, kdo se může k zařízení dostat, přečtěte si nejnovější doporučení společnosti Ivanti a při jakémkoli náznaku kompromitace rotujte přihlašovací údaje. Pro kontext o tom, jak se vyvíjela časová osa zveřejnění a záplatování, si přečtěte náš dřívější článek o tom, že Ivanti našla chybu v červnu, aniž by vydala opravu. Podrobnosti tohoto řetězce zneužití se mohou změnit, jak budou přicházet další informace, proto dál sledujte oficiální zdroje.
