En zero-day exploit-kæde målrettet Ivanti Connect Secure VPN-apparater er blevet observeret in the wild, ifølge en rapport fra sikkerhedsfirmaet Rescana. Den rapporterede effekt er alvorlig: uautentificerede angribere kan opnå root-level remote code execution og stjæle legitimationsoplysninger, selv på apparater, der er fuldt patchede. Denne Ivanti Connect Secure zero-day exploit er en påmindelse om, at en VPN-gateway, der sidder i kanten af et netværk, er et af de mest værdifulde mål, en angriber kan vælge.

Kilderapporten er kun delvist tilgængelig for os, så denne artikel holder sig til det bekræftede og undgår at spekulere i tekniske detaljer. hvor vi giver vejledning, er det generel sikkerhedspraksis frem for instruktioner udstedt af leverandøren.

Hvorfor et fuldt patchet VPN-apparat stadig blev kompromitteret

Ordet "zero-day" forklarer det meste. En zero-day er en sårbarhed, som angribere udnytter, før der findes en rettelse, så det hjælper ikke at installere alle tilgængelige opdateringer. Et fuldt patchet apparat er kun beskyttet mod de problemer, der allerede er kendte og rettede.

Rapporten beskriver en exploit-kæde, altså flere svagheder, der er kædet sammen. Kæder er almindelige i alvorlige angreb, fordi en enkelt fejl sjældent giver fuld kontrol i sig selv. Kombineret kan en række mindre fejl bringe en angriber fra ingen adgang overhovedet til fuldstændig kontrol over enheden, uden at der kræves login.

For kontekst om timingen har vpn.social allerede dækket Ivantis tidligere kendskab til en del af sårbarheden. I den dækning sagde Ivanti, at de opdagede en del af defekten måneder før angriberne udnyttede den, men vurderede, at den ikke opfyldte kriterierne for en out-of-band-udgivelse. Den historie er vigtig, fordi den viser, hvor langt hullet kan være mellem, at en leverandør opdager et problem, og at kunderne får en rettelse.

Hvad root-adgang og tyveri af legitimationsoplysninger betyder for brugere

Root er det højeste privilegieniveau på et Linux-baseret system. En angriber med root på et VPN-apparat er ikke begrænset til, hvad en normal bruger kan gøre. De kan potentielt læse eller ændre alt, hvad enheden håndterer, ændre dens konfiguration og køre deres egen kode.

Tyveri af legitimationsoplysninger er den del, der påvirker almindelige brugere mest. Et VPN-apparat håndterer logins for medarbejdere, entreprenører og partnere. Hvis en angriber kan opsnappe disse legitimationsoplysninger, kan skaden sprede sig langt ud over apparatet:

  • Stjålne brugernavne og adgangskoder kan genbruges til at nå interne systemer, e-mail og cloudtjenester.
  • Kompromitterede konti kan fremstå som legitime fjernarbejdere, hvilket gør ondsindet aktivitet sværere at opdage.
  • Angribere kan bevare adgang via stjålne legitimationsoplysninger, selv efter selve apparatet er renset.

Hvis du opretter forbindelse til din arbejdsplads via Connect Secure, er den praktiske risiko, at dine loginoplysninger kan blive eksponeret, uden at du har gjort noget forkert.

Sådan kontrollerer du, om dit Connect Secure-apparat er eksponeret

Hvis du driver Ivanti Connect Secure, så antag, at det er et muligt mål, indtil du har bevis for det modsatte. Et par fornuftige kontroller:

  1. Bekræft din eksponering. Find ud af, om apparatet kan nås fra internettet, og hvem der kan tilgå dets administrationsgrænseflade. Alt, der ikke behøver at være offentligt, bør ikke være det.
  2. Hold øje med Ivantis advisories. Leverandøren er den autoritative kilde til officielle rettelser, afbødninger og detektionsvejledning, og disse detaljer kan ændre sig, efterhånden som undersøgelsen fortsætter.
  3. Brug leverandørens integritetsværktøjer. Hvis Ivanti stiller et integritetstjek eller et lignende værktøj til rådighed for dit produkt, så kør det. Behandl et rent resultat med en vis forsigtighed, da en angriber på root-niveau kan manipulere, hvad enheden rapporterer om sig selv.
  4. Gennemgå logs. Se efter usædvanlige logins, uventede administrative ændringer, mærkelige udgående forbindelser og autentificeringsaktivitet på underlige tidspunkter eller fra ukendte steder.
  5. Spørg dit sikkerhedsteam eller din udbyder. Hvis du ikke er administrator, så spørg dem direkte, om apparatet er blevet kontrolleret.

Afbødningstiltag: roter legitimationsoplysninger, overvåg, og lagdel forsvar

Fordi en patch ikke fuldt ud kan løse et zero-day-problem, skal forsvaret være lagdelt.

  • Rotér legitimationsoplysninger. Hvis kompromittering er mulig, så skift adgangskoder for VPN-brugere, servicekonti og alle hemmeligheder, der er gemt på eller passerer gennem apparatet. Gør dette, efter du har sikret enheden, ellers kan de nye legitimationsoplysninger også blive opsnappet.
  • Håndhæv multifaktorautentificering. Det begrænser, hvad stjålne adgangskoder alene kan udrette, selvom det ikke er et fuldstændigt svar, hvis en angriber kontrollerer selve gatewayen.
  • Segmentér netværket. VPN-brugere bør kun kunne nå de systemer, de har brug for, så en kompromitteret konto eller enhed ikke kan bevæge sig frit.
  • Overvåg løbende. Send apparatets logs til et separat system, som apparatet ikke kan ændre, og slå alarm ved anomalier.
  • Planlæg for genopbygning. Hvis du finder tegn på kompromittering, følg leverandørens vejledning om at genopbygge enheden i stedet for at antage, at en simpel oprydning er nok.

Hvad dette betyder for dig

Hvis du er administrator, er lektionen, at patch-status ikke er det samme som sikkerhed. Edge-enheder har brug for overvågning, begrænset eksponering og en incidentplan, ikke bare opdateringer. Hvis du er VPN-bruger i en organisation, der driver Connect Secure, kontrollerer du ikke apparatet, men du kan ændre din adgangskode, aktivere multifaktorautentificering, hvor det tilbydes, og rapportere alt mærkeligt, såsom uventede loginprompter eller sikkerhedsalarmer.

Næste skridt

Gennemgå din eksponering for Ivanti Connect Secure zero-day exploit i dag: kontroller, hvem der kan nå apparatet, læs den seneste vejledning fra Ivanti, og rotér legitimationsoplysninger, hvis der er noget som helst tegn på kompromittering. For baggrund om, hvordan offentliggørelsen og patch-tidslinjen udfoldede sig, læs vores tidligere rapport om Ivanti, der fandt sårbarheden i juni uden at udsende en rettelse. Detaljerne i denne exploit-kæde kan ændre sig, efterhånden som mere information kommer frem, så bliv ved med at tjekke officielle kilder.