Η Ivanti λέει ότι εντόπισε μέρος του ελαττώματος πίσω από έναν Ivanti Connect Secure zero-day που πρόσφατα εκμεταλλεύτηκαν επιτιθέμενοι μήνες προτού τον χρησιμοποιήσουν, αλλά έκρινε ότι το ζήτημα δεν πληρούσε το κριτήριο για έκτακτη κυκλοφορία. Σύμφωνα με ρεπορτάζ του CyberScoop, η εταιρεία βρήκε ένα μέρος του ελαττώματος κατά τη διάρκεια εσωτερικών ελέγχων ασφαλείας τον Ιούνιο. Μέχρι τη στιγμή που η διόρθωση κατέστη επείγουσα, οι επιτιθέμενοι εκμεταλλεύονταν ήδη το σφάλμα στο πεδίο.

Αυτή η αλληλουχία είναι που κάνει την ιστορία αξιοσημείωτη. Δεν αφορά τόσο μια αιφνιδιαστική ευπάθεια, όσο μια κρίση που δεν γέρασε καλά.

Τι βρήκε η Ivanti τον Ιούνιο και γιατί περίμενε

Η εξήγηση της Ivanti, όπως συνοψίζεται από το CyberScoop, είναι στενή αλλά σημαντική. Οι εσωτερικοί έλεγχοι της ίδιας της εταιρείας εντόπισαν μέρος του ελαττώματος τον Ιούνιο. Η Ivanti στη συνέχεια το αξιολόγησε με βάση τα κριτήριά της για έκτακτη κυκλοφορία, δηλαδή μια διόρθωση που διανέμεται εκτός του κανονικού προγραμματισμένου κύκλου ενημερώσεων, και κατέληξε ότι υπολειπόταν αυτού του ορίου.

Στην πράξη, οι προμηθευτές διαλογίζουν τα ευρήματα με βάση τη σοβαρότητα, την εκμεταλλευσιμότητα και τις ενδείξεις κατάχρησης. Ένα σφάλμα που φαίνεται δύσκολο να προσεγγιστεί ή χαμηλού αντίκτυπου από μόνο του συχνά περιμένει την επόμενη τακτική ενημέρωση. Η παγίδα είναι ότι η εταιρεία λέει πως είδε μόνο ένα μέρος του ελαττώματος. Μια μερική εικόνα ενός ελαττώματος μπορεί να υποτιμήσει πόσο επικίνδυνο είναι μόλις κάποιος βρει τα υπόλοιπα.

Το υλικό πηγής που παρέχεται εδώ δεν περιγράφει λεπτομερώς την πλήρη τεχνική φύση του σφάλματος, οπότε αξίζει προσοχή ως προς το τι είναι και τι δεν είναι γνωστό. Αυτό που αναφέρεται: η ημερομηνία εντοπισμού, η εσωτερική αξιολόγηση και η απόφαση να μην επισπευσθεί η διόρθωση.

Πώς το ελάττωμα έγινε εκμεταλλευόμενο zero-day

Μια ευπάθεια γίνεται zero-day όταν οι επιτιθέμενοι την εκμεταλλεύονται πριν υπάρξει διόρθωση. Αυτή είναι η κατάσταση που αναφέρεται για το Connect Secure. Επειδή η διόρθωση δεν είχε διανεμηθεί, οι αμυνόμενοι δεν είχαν επίσημο μέσο αποκατάστασης όταν ξεκίνησε η ενεργή εκμετάλλευση.

Το Connect Secure είναι μια ευρέως αναπτυγμένη πύλη VPN και αυτό έχει σημασία. Πύλες σαν κι αυτή βρίσκονται στην άκρη ενός δικτύου, εκτίθενται στο διαδίκτυο εκ σχεδιασμού και συχνά κατέχουν προνομιακή θέση μεταξύ εξωτερικών χρηστών και εσωτερικών συστημάτων. Μια αδυναμία σε μία από αυτές είναι ελκυστική για τους επιτιθέμενους, επειδή μια μόνο παραβιασμένη συσκευή μπορεί να προσφέρει τρόπο εισόδου χωρίς να αγγίξει τον φορητό υπολογιστή ή τα εισερχόμενα ενός υπαλλήλου.

Βοηθά επίσης να θυμόμαστε ποιοι συνήθως στοχεύουν αυτή την κατηγορία συσκευών. Η κάλυψή μας για το πώς το DOJ και το FBI κατέσχεσαν τα εργαλεία Microscan και FishHub της Flax Typhoon δείχνει ότι ομάδες με σχέσεις με κράτη επενδύουν σημαντικά σε εργαλεία που στοχεύουν υποδομές εκτεθειμένες στο διαδίκτυο. Το ρεπορτάζ για την Ivanti δεν αποδίδει αυτή την εκμετάλλευση σε κάποιον συγκεκριμένο δράστη, οπότε θεωρήστε το ως πλαίσιο και όχι ως συμπέρασμα.

Τι πρέπει να ελέγξουν τώρα οι διαχειριστές του Connect Secure

Αν ο οργανισμός σας χρησιμοποιεί Connect Secure, αυτά τα βήματα είναι ένα λογικό σημείο εκκίνησης:

  • Επιβεβαιώστε την έκδοσή σας. Ελέγξτε την ακριβή έκδοση λογισμικού σε κάθε πύλη, συμπεριλαμβανομένων των μονάδων δοκιμών και εφεδρείας που είναι εύκολο να ξεχαστούν.
  • Διαβάστε την τρέχουσα συμβουλευτική της Ivanti. Αναζητήστε τη διόρθωση ή το προσωρινό μέτρο μετριασμού που σχετίζεται με αυτό το ελάττωμα και εφαρμόστε το το συντομότερο που επιτρέπει η διαδικασία αλλαγών σας.
  • Χρησιμοποιήστε τυχόν ενσωματωμένα εργαλεία ακεραιότητας. Αν η Ivanti παρέχει εργαλείο ελέγχου ακεραιότητας για τη συσκευή, εκτελέστε το και κρατήστε την έξοδό του για μελλοντική σύγκριση.
  • Εξετάστε τα αρχεία καταγραφής για ασυνήθιστη δραστηριότητα. Αναζητήστε απροσδόκητες διοικητικές συνεδρίες, νέους λογαριασμούς, περίεργες εξερχόμενες συνδέσεις ή αλλαγές διαμόρφωσης που δεν κάνατε εσείς.
  • Αλλάξτε διαπιστευτήρια όπου είναι πιθανή παραβίαση. Επαναφέρετε κωδικούς πρόσβασης και μυστικά που είναι αποθηκευμένα στην πύλη ή χρησιμοποιούνται από αυτήν, αν βρείτε ενδείξεις κατάχρησης. Η έκθεση διαπιστευτηρίων είναι ένα ξεχωριστό, συνηθισμένο πρόβλημα· τα ευρήματα του SpyCloud για 1.800 επιχειρήσεις ύδρευσης εκτεθειμένες σε κακόβουλο λογισμικό κλοπής πληροφοριών υπενθυμίζουν πώς οι κλεμμένες συνδέσεις μπορούν να επιδεινώσουν τον κίνδυνο συσκευών άκρης.
  • Περιορίστε την έκθεση. Περιορίστε τις διεπαφές διαχείρισης ώστε να μην είναι προσβάσιμες από το ανοικτό διαδίκτυο.

Αν δεν μπορείτε να εφαρμόσετε τη διόρθωση άμεσα, ακολουθήστε όποια καθοδήγηση μετριασμού έχει δημοσιεύσει ο προμηθευτής και παρακολουθείτε τη συσκευή πιο στενά μέχρι να μπορέσετε.

Τι σημαίνουν οι πολιτικές ενημερώσεων των προμηθευτών για την εμπιστοσύνη στα VPN

Ο εντοπισμός του Ιουνίου εγείρει ένα δίκαιο ερώτημα σχετικά με το πώς οι προμηθευτές θέτουν το όριο για επείγουσες διορθώσεις. Οι έκτακτες διορθώσεις είναι διασπαστικές για τους πελάτες, οπότε οι προμηθευτές δεν θέλουν να τις εκδίδουν για κάθε εύρημα. Αλλά το κόστος της αναμονής είναι μονόπλευρο όταν το προϊόν είναι πύλη ασφαλείας που βρίσκεται στην περίμετρο.

Καμία πλευρά αυτής της ανταλλαγής δεν είναι παράλογη εκ πρώτης όψεως. Το δίδαγμα είναι ότι η εσωτερική αξιολόγηση σοβαρότητας ενός προμηθευτή δεν ταυτίζεται με τον πραγματικό κίνδυνο. Στους επιτιθέμενους δεν έχει σημασία αν ένα ελάττωμα χαρακτηρίστηκε κάτω από ένα όριο κυκλοφορίας· έχει σημασία αν λειτουργεί.

Για τους πελάτες, αυτό επιχειρηματολογεί υπέρ του να θέτουν άμεσες ερωτήσεις στους προμηθευτές: Πώς αποφασίζετε τι δικαιολογεί έκτακτη διόρθωση; Πόσο γρήγορα ειδοποιείτε τους πελάτες για ζητήματα που εντοπίζονται εσωτερικά; Τι συμβαίνει όταν ένα εν μέρει κατανοητό σφάλμα αποδειχθεί αργότερα εκμεταλλεύσιμο; Οι απαντήσεις σε αυτές τις ερωτήσεις λένε περισσότερα για την εμπιστοσύνη από ό,τι μια σελίδα μάρκετινγκ.

Τι Σημαίνει Αυτό για Εσάς

Αν είστε άτομο που χρησιμοποιεί VPN από εργοδότη ή σχολείο που βασίζεται στο Connect Secure, δεν μπορείτε να διορθώσετε την πύλη μόνοι σας, αλλά μπορείτε να δράσετε. Ρωτήστε την ομάδα IT σας αν η συσκευή έχει ενημερωθεί και χρησιμοποιήστε ισχυρούς, μοναδικούς κωδικούς πρόσβασης και έλεγχο ταυτότητας πολλαπλών παραγόντων σε κάθε λογαριασμό που τη χρησιμοποιεί. Αν σας ζητηθεί να αλλάξετε κωδικό πρόσβασης, κάντε το άμεσα.

Αν διαχειρίζεστε την πύλη, θεωρήστε το ως αφορμή για να επανεξετάσετε ολόκληρο το απόθεμα της άκρης σας, όχι μόνο ένα προϊόν. Κάθε συσκευή εκτεθειμένη στο διαδίκτυο αξίζει την ίδια προσοχή στην έκδοση, την έκθεση και την καταγραφή.

Βασικά συμπεράσματα

Ο Ivanti Connect Secure zero-day υπενθυμίζει ότι το παράθυρο μεταξύ εντοπισμού και διόρθωσης έχει τόση σημασία όσο και το ίδιο το ελάττωμα. Η Ivanti λέει ότι βρήκε μέρος του ελαττώματος τον Ιούνιο και το έκρινε κάτω από το όριο έκτακτης κυκλοφορίας· στη συνέχεια οι επιτιθέμενοι το έφτασαν πρώτοι.

Αν διαχειρίζεστε ή εξαρτάστε από πύλες Ivanti, επαληθεύστε την έκδοσή σας σήμερα, εφαρμόστε τις τελευταίες διορθώσεις και μέτρα μετριασμού και συνεχίστε να ελέγχετε τις συμβουλευτικές ασφαλείας της Ivanti καθώς εξελίσσεται η κατάσταση. Για ευρύτερο πλαίσιο σχετικά με το ποιοι στοχεύουν συσκευές άκρης και γιατί, διαβάστε την αναφορά μας για τις κατασχέσεις εργαλείων της Flax Typhoon.