Ivanti sagt, man habe einen Teil des Defekts hinter einem neu ausgenutzten Ivanti Connect Secure Zero-Day Monate entdeckt, bevor Angreifer ihn nutzten, sich jedoch entschieden, dass das Problem die Hürde für ein außerplanmäßiges Release nicht erreiche. Laut einem Bericht von CyberScoop fand das Unternehmen einen Teil der Schwachstelle bei internen Sicherheitsprüfungen im Juni. Als ein Fix dringend wurde, nutzten Angreifer den Fehler bereits in freier Wildbahn aus.

Diese Abfolge macht diese Geschichte bemerkenswert. Es geht weniger um eine überraschende Schwachstelle als vielmehr um eine Ermessensentscheidung, die nicht gut gealtert ist.

Was Ivanti im Juni fand und warum man wartete

Ivantis Erklärung, wie von CyberScoop zusammengefasst, ist eng gefasst, aber wichtig. Die unternehmenseigenen internen Prüfungen deckten im Juni einen Teil des Defekts auf. Ivanti bewertete ihn dann anhand seiner Kriterien für ein außerplanmäßiges Release, also einen Patch, der außerhalb des normalen geplanten Update-Zyklus ausgeliefert wird, und kam zu dem Schluss, dass er diese Schwelle nicht erreichte.

In der Praxis priorisieren Hersteller Funde nach Schweregrad, Ausnutzbarkeit und Hinweisen auf Missbrauch. Ein Fehler, der für sich genommen schwer erreichbar oder von geringer Auswirkung erscheint, wartet oft auf das nächste reguläre Update. Der Haken ist, dass das Unternehmen nach eigenen Angaben nur einen Teil des Defekts sah. Eine teilweise Sicht auf eine Schwachstelle kann unterschätzen, wie gefährlich sie ist, sobald jemand den Rest findet.

Das hier bereitgestellte Quellmaterial beschreibt nicht die vollständige technische Natur des Fehlers, daher ist Vorsicht angebracht, was bekannt ist und was nicht. Berichtet wird: das Entdeckungsdatum, die interne Bewertung und die Entscheidung, keinen Fix zu überstürzen.

Wie die Schwachstelle zu einem ausgenutzten Zero-Day wurde

Eine Schwachstelle wird zu einem Zero-Day, wenn Angreifer sie ausnutzen, bevor ein Patch existiert. Das ist die für Connect Secure berichtete Situation. Da der Fix nicht ausgeliefert worden war, hatten Verteidiger kein offizielles Mittel, als die aktive Ausnutzung begann.

Connect Secure ist ein weit verbreitetes VPN-Gateway, und das ist wichtig. Solche Gateways sitzen am Rand eines Netzwerks, sind konstruktionsbedingt dem Internet ausgesetzt und nehmen oft eine privilegierte Position zwischen externen Nutzern und internen Systemen ein. Eine Schwäche in einem von ihnen ist für Angreifer attraktiv, weil ein einziges kompromittiertes Gerät einen Weg hinein bieten kann, ohne den Laptop oder das Postfach eines Mitarbeiters zu berühren.

Es hilft auch, sich daran zu erinnern, wer typischerweise diese Geräteklasse ins Visier nimmt. Unsere Berichterstattung darüber, wie das DOJ und das FBI die Flax-Typhoon-Tools Microscan und FishHub beschlagnahmten, zeigt, dass staatlich verbundene Gruppen stark in Tooling investieren, das auf internetzugewandte Infrastruktur abzielt. Die Berichterstattung über Ivanti schreibt diese Ausnutzung keinem bestimmten Akteur zu, daher sollte dies als Kontext und nicht als Schlussfolgerung verstanden werden.

Was Connect-Secure-Administratoren jetzt prüfen sollten

Wenn Ihre Organisation Connect Secure betreibt, sind diese Schritte ein sinnvoller Ausgangspunkt:

  • Bestätigen Sie Ihre Version. Prüfen Sie den genauen Software-Build auf jedem Gateway, einschließlich Test- und Failover-Einheiten, die leicht vergessen werden.
  • Lesen Sie die aktuelle Ivanti-Sicherheitsmitteilung. Suchen Sie nach dem Patch oder der vorläufigen Maßnahme zu dieser Schwachstelle und wenden Sie sie an, sobald Ihr Änderungsprozess es zulässt.
  • Nutzen Sie alle integrierten Integritätswerkzeuge. Wenn Ivanti einen Integritätsprüfer für die Appliance bereitstellt, führen Sie ihn aus und bewahren Sie seine Ausgabe für einen späteren Vergleich auf.
  • Prüfen Sie Protokolle auf ungewöhnliche Aktivitäten. Achten Sie auf unerwartete administrative Sitzungen, neue Konten, seltsame ausgehende Verbindungen oder Konfigurationsänderungen, die Sie nicht vorgenommen haben.
  • Rotieren Sie Anmeldedaten, wo eine Kompromittierung möglich ist. Setzen Sie Passwörter und Geheimnisse zurück, die auf dem Gateway gespeichert sind oder von ihm verwendet werden, wenn Sie Anzeichen für Missbrauch finden. Die Preisgabe von Anmeldedaten ist ein separates, häufiges Problem; SpyClouds Erkenntnisse zu Wasserversorgern, die Infostealer-Malware ausgesetzt waren, sind eine Erinnerung daran, wie gestohlene Logins das Risiko von Edge-Geräten verstärken können.
  • Begrenzen Sie die Exposition. Beschränken Sie Verwaltungsschnittstellen so, dass sie nicht aus dem offenen Internet erreichbar sind.

Wenn Sie nicht sofort patchen können, befolgen Sie die vom Hersteller veröffentlichten Maßnahmen und überwachen Sie das Gerät genauer, bis Sie es können.

Was Hersteller-Patch-Richtlinien für das Vertrauen in VPNs bedeuten

Die Entdeckung im Juni wirft eine berechtigte Frage dazu auf, wie Hersteller die Schwelle für dringende Fixes festlegen. Außerplanmäßige Patches sind für Kunden störend, daher möchten Hersteller sie nicht für jeden Fund herausgeben. Doch die Kosten des Wartens sind unausgewogen, wenn das Produkt ein Sicherheits-Gateway ist, das am Perimeter sitzt.

Keine Seite dieses Kompromisses ist für sich genommen unvernünftig. Die Lehre ist, dass die interne Schweregradbewertung eines Herstellers nicht dasselbe ist wie das Risiko in der realen Welt. Angreifer kümmert es nicht, ob eine Schwachstelle als unterhalb einer Release-Schwelle eingestuft wurde; sie kümmert es, ob sie funktioniert.

Für Kunden spricht dies dafür, Herstellern direkte Fragen zu stellen: Wie entscheiden Sie, was einen außerplanmäßigen Fix rechtfertigt? Wie schnell benachrichtigen Sie Kunden über intern gefundene Probleme? Was passiert, wenn ein teilweise verstandener Fehler später als ausnutzbar eingestuft wird? Die Antworten auf diese Fragen sagen mehr über Vertrauen aus als eine Marketingseite.

Was das für Sie bedeutet

Wenn Sie eine Privatperson sind, die ein VPN eines Arbeitgebers oder einer Schule nutzt, das auf Connect Secure setzt, können Sie das Gateway nicht selbst patchen, aber Sie können handeln. Fragen Sie Ihr IT-Team, ob die Appliance aktualisiert wurde, und verwenden Sie starke, einzigartige Passwörter und Multi-Faktor-Authentifizierung für jedes Konto, das damit in Berührung kommt. Wenn Ihnen gesagt wird, Sie sollen ein Passwort ändern, tun Sie es umgehend.

Wenn Sie das Gateway betreiben, sehen Sie dies als Anlass, Ihr gesamtes Edge-Inventar zu überprüfen, nicht nur ein Produkt. Jedes internetzugewandte Gerät verdient die gleiche Aufmerksamkeit hinsichtlich Version, Exposition und Protokollierung.

Wichtigste Erkenntnisse

Der Ivanti Connect Secure Zero-Day ist eine Erinnerung daran, dass das Fenster zwischen Entdeckung und Fix genauso wichtig ist wie die Schwachstelle selbst. Ivanti sagt, man habe im Juni einen Teil des Defekts gefunden und ihn als unterhalb der Außerplanmäßig-Schwelle eingestuft; Angreifer erreichten ihn dann zuerst.

Wenn Sie Ivanti-Gateways betreiben oder von ihnen abhängig sind, überprüfen Sie heute Ihre Version, wenden Sie die neuesten Patches und Maßnahmen an und verfolgen Sie weiterhin Ivantis Sicherheitsmitteilungen, während sich die Lage entwickelt. Für einen breiteren Kontext dazu, wer Edge-Geräte ins Visier nimmt und warum, lesen Sie unseren Bericht über die Flax-Typhoon-Tool-Beschlagnahmungen.