Společnost Ivanti tvrdí, že část defektu stojícího za nově zneužitým Ivanti Connect Secure zero-day odhalila měsíce předtím, než jej útočníci využili, ale rozhodla se, že problém nesplňuje kritéria pro mimořádné vydání. Podle reportáže serveru CyberScoop společnost objevila část chyby během interních bezpečnostních kontrol v červnu. V době, kdy byla oprava naléhavá, útočníci už zranitelnost zneužívali v reálném prostředí.

Právě tato posloupnost dělá příběh pozoruhodným. Nejde ani tak o překvapivou zranitelnost, jako spíš o úsudek, který nezestárl dobře.

Co Ivanti v červnu našla a proč čekala

Vysvětlení společnosti Ivanti, jak jej shrnul CyberScoop, je úzké, ale důležité. Vlastní interní kontroly společnosti odhalily část defektu v červnu. Ivanti jej poté posoudila podle svých kritérií pro mimořádné vydání, tedy záplatu dodanou mimo běžný plánovaný aktualizační cyklus, a dospěla k závěru, že tuto hranici nesplňuje.

V praxi dodavatelé třídí nálezy podle závažnosti, zneužitelnosti a důkazů o zneužití. Chyba, která sama o sobě vypadá obtížně dosažitelně nebo s nízkým dopadem, často čeká na další běžnou aktualizaci. Háček je v tom, že společnost podle svých slov viděla jen část defektu. Částečný pohled na chybu může podcenit její nebezpečnost ve chvíli, kdy někdo objeví zbytek.

Zde uvedený zdrojový materiál nepopisuje úplnou technickou povahu chyby, proto je vhodné být opatrný v tom, co je a co není známo. Co je reportováno: datum objevení, interní posouzení a rozhodnutí neuspěchat opravu.

Jak se z chyby stal zneužitý zero-day

Zranitelnost se stane zero-day ve chvíli, kdy ji útočníci zneužijí dříve, než existuje záplata. To je situace reportovaná u Connect Secure. Protože oprava nebyla vydána, obránci neměli žádné oficiální řešení, když začalo aktivní zneužívání.

Connect Secure je široce nasazovaná VPN brána, a to je důležité. Brány jako tato sedí na okraji sítě, ze své podstaty čelí internetu a často zaujímají privilegované postavení mezi externími uživateli a interními systémy. Slabina v jedné z nich je pro útočníky atraktivní, protože jediné kompromitované zařízení může nabídnout cestu dovnitř, aniž by se dotklo notebooku nebo schránky zaměstnance.

Také je dobré pamatovat na to, kdo na tento typ zařízení obvykle útočí. Naše pokrytí toho, jak ministerstvo spravedlnosti USA a FBI zabavily nástroje Flax Typhoon Microscan a FishHub, ukazuje, že skupiny napojené na státy investují značné prostředky do nástrojů zaměřených na infrastrukturu dostupnou z internetu. Reportáž o Ivanti nepřiřazuje toto zneužití žádnému konkrétnímu aktérovi, proto to berte jako kontext, nikoli jako závěr.

Co by měli správci Connect Secure zkontrolovat nyní

Pokud vaše organizace provozuje Connect Secure, tyto kroky jsou rozumným výchozím bodem:

  • Ověřte svou verzi. Zkontrolujte přesné sestavení softwaru na každé bráně, včetně testovacích a záložních jednotek, na které se snadno zapomíná.
  • Přečtěte si aktuální bezpečnostní doporučení Ivanti. Hledejte záplatu nebo dočasné zmírnění spojené s touto chybou a aplikujte je, jakmile to váš změnový proces dovolí.
  • Použijte všechny vestavěné nástroje pro kontrolu integrity. Pokud Ivanti pro zařízení poskytuje kontrolu integrity, spusťte ji a její výstup si uložte pro pozdější srovnání.
  • Projděte logy na neobvyklou aktivitu. Hledejte neočekávané administrativní relace, nové účty, podivná odchozí připojení nebo změny konfigurace, které jste neprovedli.
  • Vyměňte přihlašovací údaje tam, kde je možná kompromitace. Resetujte hesla a tajné klíče uložené v bráně nebo používané bránou, pokud najdete známky zneužití. Únik přihlašovacích údajů je samostatný a častý problém; zjištění společnosti SpyCloud o 1 800 vodárenských podniků vystavených infostealer malwaru jsou připomínkou toho, jak mohou ukradené přihlašovací údaje znásobit riziko u zařízení na okraji sítě.
  • Omezte expozici. Omezte rozhraní pro správu tak, aby nebyla dostupná z otevřeného internetu.

Pokud nemůžete záplatu aplikovat okamžitě, postupujte podle pokynů pro zmírnění, které dodavatel zveřejnil, a zařízení do té doby bedlivě sledujte.

Co zásady dodavatelů pro záplaty znamenají pro důvěru ve VPN

Červnový objev vyvolává oprávněnou otázku, jak dodavatelé nastavují hranici pro naléhavé opravy. Mimořádné záplaty jsou pro zákazníky rušivé, takže dodavatelé je nechtějí vydávat pro každý nález. Náklady čekání jsou však nevyvážené, když je produktem bezpečnostní brána, která sedí na perimetru.

Ani jedna strana této výměny není na první pohled nerozumná. Poučení je, že interní hodnocení závažnosti dodavatelem není totéž jako riziko v reálném světě. Útočníky nezajímá, zda byla chyba klasifikována pod hranicí pro vydání; zajímá je, zda funguje.

Pro zákazníky to znamená klást dodavatelům přímé otázky: Jak rozhodujete o tom, co si zaslouží mimořádnou opravu? Jak rychle informujete zákazníky o problémech nalezených interně? Co se stane, když se částečně pochopená chyba později ukáže jako zneužitelná? Odpovědi na tyto otázky vypovídají o důvěře více než marketingová stránka.

Co to znamená pro vás

Pokud jste jednotlivec používající VPN od zaměstnavatele nebo školy, která se spoléhá na Connect Secure, nemůžete bránu opravit sami, ale můžete jednat. Zeptejte se svého IT týmu, zda bylo zařízení aktualizováno, a používejte silná, jedinečná hesla a vícefaktorové ověřování u každého účtu, který se ho týká. Pokud vám řeknou, abyste změnili heslo, udělejte to neprodleně.

Pokud bránu provozujete, berte to jako podnět k revizi celého inventáře okrajových zařízení, nejen jednoho produktu. Každé zařízení dostupné z internetu si zaslouží stejnou pozornost věnovanou verzi, expozici a logování.

Klíčové poznatky

Ivanti Connect Secure zero-day je připomínkou, že okno mezi objevem a opravou je stejně důležité jako chyba samotná. Ivanti tvrdí, že část defektu našla v červnu a posoudila ji jako pod hranicí pro mimořádné vydání; útočníci se k ní pak dostali první.

Pokud provozujete brány Ivanti nebo na nich závisíte, ověřte dnes svou verzi, aplikujte nejnovější záplaty a zmírnění a dál sledujte bezpečnostní doporučení společnosti Ivanti, jak se situace vyvíjí. Pro širší kontext o tom, kdo cílí na okrajová zařízení a proč, si přečtěte naši zprávu o zabavení nástrojů Flax Typhoon.