Eine Zero-Day-Exploit-Kette, die auf Ivanti Connect Secure VPN-Appliances abzielt, wurde laut einem Bericht des Sicherheitsunternehmens Rescana in freier Wildbahn beobachtet. Die gemeldeten Auswirkungen sind gravierend: Nicht authentifizierte Angreifer können Remote-Code-Ausführung mit Root-Rechten erreichen und Anmeldedaten stehlen, selbst auf Appliances, die vollständig gepatcht sind. Dieser Ivanti Connect Secure Zero-Day-Exploit ist eine Erinnerung daran, dass ein VPN-Gateway am Netzwerkrand eines der wertvollsten Ziele ist, die ein Angreifer wählen kann.

Der Quellbericht ist uns nur teilweise zugänglich, daher beschränkt sich dieser Artikel auf das Bestätigte und vermeidet Spekulationen über technische Details. Wo wir Hinweise geben, handelt es sich um allgemeine Sicherheitspraktiken und nicht um vom Hersteller herausgegebene Anweisungen.

Warum eine vollständig gepatchte VPN-Appliance dennoch kompromittiert wurde

Das Wort „Zero-Day" erklärt das meiste. Ein Zero-Day ist eine Schwachstelle, die Angreifer ausnutzen, bevor ein Fix existiert, sodass die Installation jedes verfügbaren Updates nicht davor schützt. Eine vollständig gepatchte Appliance ist nur gegen die Probleme geschützt, die bereits bekannt und behoben sind.

Der Bericht beschreibt eine Exploit-Kette, also mehrere miteinander verknüpfte Schwachstellen. Ketten sind bei schwerwiegenden Angriffen üblich, da ein einzelner Bug selten allein die vollständige Kontrolle ermöglicht. Zusammen können eine Reihe kleinerer Schwachstellen einen Angreifer von keinerlei Zugriff bis zur vollständigen Kontrolle über das Gerät bringen, ohne dass eine Anmeldung erforderlich ist.

Zum zeitlichen Kontext: vpn.social hat bereits über Ivantis früheres Wissen über einen Teil der Schwachstelle berichtet. In dieser Berichterstattung gab Ivanti an, einen Teil des Defekts Monate vor der Ausnutzung durch Angreifer entdeckt, aber befunden zu haben, dass er die Hürde für eine außerplanmäßige Veröffentlichung nicht erreichte. Diese Vorgeschichte ist wichtig, weil sie zeigt, wie lang die Lücke zwischen dem Bemerken eines Problems durch den Hersteller und dem Erhalt eines Fixes durch die Kunden sein kann.

Was Root-Zugriff und Anmeldedaten-Diebstahl für Nutzer bedeuten

Root ist die höchste Berechtigungsstufe auf einem Linux-basierten System. Ein Angreifer mit Root-Rechten auf einer VPN-Appliance ist nicht auf das beschränkt, was ein normaler Nutzer tun könnte. Er kann potenziell alles lesen oder ändern, was das Gerät verarbeitet, seine Konfiguration verändern und eigenen Code ausführen.

Der Diebstahl von Anmeldedaten ist der Teil, der normale Nutzer am meisten betrifft. Eine VPN-Appliance verarbeitet Anmeldungen für Mitarbeiter, Auftragnehmer und Partner. Wenn ein Angreifer diese Anmeldedaten abfangen kann, kann sich der Schaden weit über die Appliance hinaus ausbreiten:

  • Gestohlene Benutzernamen und Passwörter können wiederverwendet werden, um auf interne Systeme, E-Mail und Cloud-Dienste zuzugreifen.
  • Kompromittierte Konten können wie legitime Remote-Mitarbeiter erscheinen, was bösartige Aktivitäten schwerer erkennbar macht.
  • Angreifer können den Zugang durch gestohlene Anmeldedaten auch nach der Bereinigung der Appliance selbst aufrechterhalten.

Wenn Sie sich über Connect Secure mit Ihrem Arbeitsplatz verbinden, besteht das praktische Risiko darin, dass Ihre Anmeldedaten preisgegeben werden könnten, ohne dass Sie etwas falsch gemacht haben.

So prüfen Sie, ob Ihre Connect Secure Appliance exponiert ist

Wenn Sie Ivanti Connect Secure betreiben, gehen Sie davon aus, dass es ein mögliches Ziel ist, bis Sie das Gegenteil belegen können. Ein paar sinnvolle Prüfungen:

  1. Bestätigen Sie Ihre Exposition. Finden Sie heraus, ob die Appliance aus dem Internet erreichbar ist und wer auf ihre Verwaltungsschnittstelle zugreifen kann. Alles, was nicht öffentlich sein muss, sollte es auch nicht sein.
  2. Verfolgen Sie Ivantis Sicherheitshinweise. Der Hersteller ist die maßgebliche Quelle für offizielle Fixes, Gegenmaßnahmen und Erkennungshinweise, und diese Details können sich im Laufe der Untersuchung ändern.
  3. Nutzen Sie die Integritätswerkzeuge des Herstellers. Wenn Ivanti einen Integritätsprüfer oder ein ähnliches Tool für Ihr Produkt bereitstellt, führen Sie ihn aus. Behandeln Sie ein sauberes Ergebnis mit Vorsicht, da ein Angreifer mit Root-Rechten manipulieren könnte, was das Gerät über sich selbst berichtet.
  4. Überprüfen Sie Logs. Achten Sie auf ungewöhnliche Anmeldungen, unerwartete administrative Änderungen, seltsame ausgehende Verbindungen und Authentifizierungsaktivitäten zu ungewöhnlichen Zeiten oder von unbekannten Standorten.
  5. Fragen Sie Ihr Sicherheitsteam oder Ihren Anbieter. Wenn Sie nicht der Administrator sind, fragen Sie direkt, ob die Appliance überprüft wurde.

Gegenmaßnahmen: Anmeldedaten rotieren, überwachen und Verteidigung schichten

Da ein Patch ein Zero-Day-Problem nicht vollständig lösen kann, muss die Verteidigung geschichtet sein.

  • Rotieren Sie Anmeldedaten. Wenn eine Kompromittierung möglich ist, ändern Sie Passwörter für VPN-Nutzer, Dienstkonten und alle Geheimnisse, die auf der Appliance gespeichert sind oder durch sie hindurchgehen. Tun Sie dies, nachdem Sie das Gerät gesichert haben, sonst könnten die neuen Anmeldedaten ebenfalls abgefangen werden.
  • Erzwingen Sie Multi-Faktor-Authentifizierung. Sie begrenzt, was gestohlene Passwörter allein bewirken können, ist jedoch keine vollständige Lösung, wenn ein Angreifer das Gateway selbst kontrolliert.
  • Segmentieren Sie das Netzwerk. VPN-Nutzer sollten nur auf die Systeme zugreifen können, die sie benötigen, damit ein kompromittiertes Konto oder Gerät sich nicht frei bewegen kann.
  • Überwachen Sie kontinuierlich. Senden Sie Appliance-Logs an ein separates System, das die Appliance nicht verändern kann, und alarmieren Sie bei Anomalien.
  • Planen Sie Neuaufbauten ein. Wenn Sie Anzeichen einer Kompromittierung finden, befolgen Sie die Herstellerhinweise zum Neuaufbau des Geräts, anstatt anzunehmen, dass eine einfache Bereinigung ausreicht.

Was das für Sie bedeutet

Wenn Sie Administrator sind, lautet die Lehre, dass Patch-Status nicht dasselbe ist wie Sicherheit. Edge-Geräte benötigen Überwachung, eingeschränkte Exposition und einen Incident-Plan, nicht nur Updates. Wenn Sie ein VPN-Nutzer in einer Organisation sind, die Connect Secure betreibt, kontrollieren Sie die Appliance nicht, aber Sie können Ihr Passwort ändern, Multi-Faktor-Authentifizierung aktivieren, wo sie angeboten wird, und alles Seltsame melden, wie unerwartete Anmeldeaufforderungen oder Sicherheitswarnungen.

Nächste Schritte

Überprüfen Sie noch heute Ihre Exposition gegenüber dem Ivanti Connect Secure Zero-Day-Exploit: Prüfen Sie, wer auf die Appliance zugreifen kann, lesen Sie die neuesten Ivanti-Hinweise und rotieren Sie Anmeldedaten, wenn es irgendein Anzeichen einer Kompromittierung gibt. Für Hintergrundinformationen zum Ablauf der Offenlegung und des Patch-Zeitplans lesen Sie unseren früheren Bericht darüber, wie Ivanti die Schwachstelle im Juni fand, ohne einen Fix zu veröffentlichen. Details dieser Exploit-Kette können sich ändern, wenn mehr Informationen auftauchen, also prüfen Sie weiterhin offizielle Quellen.