Ivanti siger, at de opdagede en del af defekten bag en nyligt udnyttet Ivanti Connect Secure zero-day måneder før angriberne brugte den, men besluttede, at problemet ikke opfyldte kriterierne for en out-of-band-udgivelse. Ifølge rapportering fra CyberScoop fandt virksomheden en del af fejlen under interne sikkerhedstjek i juni. Da en rettelse blev presserende, var angribere allerede i gang med at udnytte fejlen i naturen.

Det forløb er det, der gør denne historie bemærkelsesværdig. Det handler mindre om en overraskende sårbarhed og mere om en vurdering, der ikke holdt i længden.

Hvad Ivanti fandt i juni, og hvorfor de ventede

Ivantis forklaring, som opsummeret af CyberScoop, er snæver men vigtig. Virksomhedens egne interne tjek afslørede en del af defekten i juni. Ivanti vurderede den derefter op mod deres kriterier for en out-of-band-udgivelse, altså en patch udsendt uden for den normale planlagte opdateringscyklus, og konkluderede, at den ikke nåede den tærskel.

I praksis triagerer leverandører fund efter alvorlighed, udnyttelsesgrad og tegn på misbrug. En fejl, der umiddelbart ser svær at nå eller har lav påvirkning i sig selv, venter ofte til næste regulære opdatering. Hagen er, at virksomheden siger, at de kun så en del af defekten. Et delvist billede af en fejl kan undervurdere, hvor farlig den er, når nogen finder resten.

Kildematerialet, der er tilgængeligt her, beskriver ikke fejlens fulde tekniske karakter, så det er værd at være forsigtig med, hvad der vides og ikke vides. Det, der rapporteres: opdagelsesdatoen, den interne vurdering og beslutningen om ikke at skynde på en rettelse.

Hvordan fejlen blev en udnyttet zero-day

En sårbarhed bliver en zero-day, når angribere udnytter den, før en patch eksisterer. Det er situationen, der rapporteres for Connect Secure. Fordi rettelsen ikke var udsendt, havde forsvarere ingen officiel afhjælpning, da aktiv udnyttelse begyndte.

Connect Secure er en bredt udrullet VPN-gateway, og det er vigtigt. Gatewayer som denne sidder i kanten af et netværk, vender mod internettet per design og har ofte en privilegeret position mellem eksterne brugere og interne systemer. En svaghed i en af dem er attraktiv for angribere, fordi en enkelt kompromitteret enhed kan give adgang uden at røre en medarbejders laptop eller indbakke.

Det hjælper også at huske, hvem der typisk går efter denne klasse af enheder. Vores dækning af hvordan DOJ og FBI beslaglagde Flax Typhoon-værktøjerne Microscan og FishHub viser, at statsligt forbundne grupper investerer tungt i værktøjer rettet mod internetvendt infrastruktur. Rapporteringen om Ivanti tilskriver ikke denne udnyttelse nogen bestemt aktør, så betragt det som kontekst frem for en konklusion.

Hvad Connect Secure-administratorer bør tjekke nu

Hvis din organisation kører Connect Secure, er disse trin et fornuftigt udgangspunkt:

  • Bekræft din version. Tjek den præcise softwarebuild på hver gateway, inklusive test- og failover-enheder, som er nemme at glemme.
  • Læs den aktuelle Ivanti-vejledning. Se efter patchen eller den midlertidige afhjælpning knyttet til denne fejl, og anvend den så snart din ændringsproces tillader det.
  • Brug eventuelle indbyggede integritetsværktøjer. Hvis Ivanti stiller en integritetstjekker til rådighed for apparatet, så kør den, og gem outputtet til senere sammenligning.
  • Gennemgå logs for usædvanlig aktivitet. Se efter uventede administrative sessioner, nye konti, mærkelige udgående forbindelser eller konfigurationsændringer, du ikke har foretaget.
  • Roter legitimationsoplysninger, hvor kompromittering er mulig. Nulstil adgangskoder og hemmeligheder, der er gemt på eller bruges af gatewayen, hvis du finder tegn på misbrug. Eksponering af legitimationsoplysninger er et separat, almindeligt problem; SpyClouds fund om vandværker eksponeret for infostealer-malware er en påmindelse om, hvordan stjålne login kan forstærke risikoen ved edge-enheder.
  • Begræns eksponering. Begræns administrationsgrænseflader, så de ikke er tilgængelige fra det åbne internet.

Hvis du ikke kan patche med det samme, følg den afhjælpningsvejledning, leverandøren har offentliggjort, og overvåg enheden tættere, indtil du kan.

Hvad leverandørers patch-politikker betyder for VPN-tillid

Opdagelsen i juni rejser et rimeligt spørgsmål om, hvordan leverandører fastsætter tærsklen for presserende rettelser. Out-of-band-patcher er forstyrrende for kunder, så leverandører ønsker ikke at udsende dem for hvert fund. Men omkostningen ved at vente er skæv, når produktet er en sikkerhedsgateway, der sidder på perimeteren.

Ingen af siderne i den afvejning er urimelige umiddelbart. Lektionen er, at en leverandørs interne alvorlighedsvurdering ikke er det samme som risikoen i den virkelige verden. Angribere er ligeglade med, hvorvidt en fejl blev klassificeret under en udgivelsestærskel; de er ligeglade med, hvorvidt den virker.

For kunder taler dette for at stille leverandører direkte spørgsmål: Hvordan beslutter I, hvad der berettiger en out-of-band-rettelse? Hvor hurtigt underretter I kunder om problemer fundet internt? Hvad sker der, når en delvist forstået fejl senere viser sig at være udnyttelig? Svarene på disse spørgsmål siger mere om tillid, end en markedsføringsside gør.

Hvad dette betyder for dig

Hvis du er en enkeltperson, der bruger en VPN fra en arbejdsgiver eller skole, som er afhængig af Connect Secure, kan du ikke patche gatewayen selv, men du kan handle. Spørg din IT-afdeling, om apparatet er blevet opdateret, og brug stærke, unikke adgangskoder og multifaktorautentificering på enhver konto, der berører den. Hvis du bliver bedt om at skifte adgangskode, så gør det med det samme.

Hvis du driver gatewayen, så betragt dette som en opfordring til at gennemgå hele din edge-portefølje, ikke bare ét produkt. Enhver internetvendt enhed fortjener samme opmærksomhed på version, eksponering og logning.

Vigtige pointer

Ivanti Connect Secure zero-day er en påmindelse om, at vinduet mellem opdagelse og rettelse betyder lige så meget som fejlen selv. Ivanti siger, at de fandt en del af defekten i juni og vurderede den under out-of-band-tærsklen; angriberne nåede den derefter først.

Hvis du kører eller er afhængig af Ivanti-gatewayer, så bekræft din version i dag, anvend de nyeste patches og afhjælpninger, og hold øje med Ivantis sikkerhedsvejledninger, efterhånden som situationen udvikler sig. For bredere kontekst om, hvem der går efter edge-enheder og hvorfor, læs vores rapport om Flax Typhoon-værktøjsbeslaglæggelserne.