Tietoturvayritys Rescanan raportin mukaan Ivanti Connect Secure -VPN-laitteisiin kohdistuvaa nollapäivähyväksikäyttöketjua on havaittu luonnossa. Raportoitu vaikutus on vakava: todentamattomat hyökkääjät voivat päästä root-tason etäkoodin suoritukseen ja varastaa tunnistetietoja jopa laitteilta, jotka on täysin paikattu. Tämä Ivanti Connect Secure -nollapäivähyväksikäyttö muistuttaa siitä, että verkon reunalla sijaitseva VPN-yhdyskäytävä on yksi arvokkaimmista kohteista, joita hyökkääjä voi valita.

Lähderaportti on saatavilla meille vain osittain, joten tämä artikkeli pitäytyy vahvistetussa tiedossa ja välttää teknisten yksityiskohtien spekulointia. Kun tarjoamme ohjeita, ne ovat yleisiä tietoturvakäytäntöjä eivätkä toimittajan antamia ohjeita.

Miksi täysin paikattu VPN-laite oli silti vaarantunut

Sana "nollapäivä" selittää suurimman osan siitä. Nollapäivä on haavoittuvuus, jota hyökkääjät hyödyntävät ennen kuin korjaus on olemassa, joten kaikkien saatavilla olevien päivitysten asentaminen ei suojaa siltä. Täysin paikattu laite on suojattu vain jo tunnettuja ja korjattuja ongelmia vastaan.

Raportti kuvaa hyväksikäyttöketjua, mikä tarkoittaa useiden heikkouksien yhdistämistä toisiinsa. Ketjut ovat yleisiä vakavissa hyökkäyksissä, koska yksi virhe harvoin antaa täyden hallinnan yksinään. Yhdessä sarja pienempiä virheitä voi viedä hyökkääjän täydellisestä pääsyn puutteesta laitteen täydelliseen hallintaan ilman kirjautumista.

Ajoituksen taustaksi vpn.social on jo käsitellyt Ivantin aiempaa tietoa osasta haavoittuvuutta. Siinä katsauksessa Ivanti kertoi havainneensa osan virheestä kuukausia ennen kuin hyökkääjät käyttivät sitä, mutta arvioi, ettei se täyttänyt aikataulun ulkopuolisen julkaisun kriteerejä. Tällä historialla on merkitystä, koska se osoittaa, miten pitkä aika voi olla toimittajan ongelman havaitsemisen ja asiakkaiden korjauksen saamisen välillä.

Mitä root-pääsy ja tunnistetietojen varastaminen merkitsevät käyttäjille

Root on korkein käyttöoikeustaso Linux-pohjaisessa järjestelmässä. Hyökkääjä, jolla on root VPN-laitteessa, ei ole rajoittunut siihen, mitä tavallinen käyttäjä voisi tehdä. Hän voi mahdollisesti lukea tai muuttaa kaikkea, mitä laite käsittelee, muuttaa sen kokoonpanoa ja suorittaa omaa koodiaan.

Tunnistetietojen varastaminen on osa, joka vaikuttaa tavallisiin käyttäjiin eniten. VPN-laite käsittelee työntekijöiden, urakoitsijoiden ja kumppaneiden kirjautumisia. Jos hyökkääjä voi siepata nämä tunnistetiedot, vahingot voivat levitä laitetta paljon laajemmalle:

  • Varastettuja käyttäjätunnuksia ja salasanoja voidaan käyttää uudelleen sisäisiin järjestelmiin, sähköpostiin ja pilvipalveluihin pääsemiseksi.
  • Vaarannetut tilit voivat näyttää laillisilta etätyöntekijöiltä, mikä vaikeuttaa haitallisen toiminnan havaitsemista.
  • Hyökkääjät voivat säilyttää pääsyn varastettujen tunnistetietojen kautta jopa sen jälkeen, kun itse laite on puhdistettu.

Jos yhdistät työpaikkaasi Connect Securen kautta, käytännön riski on, että kirjautumistietosi voivat paljastua ilman, että teet mitään väärää.

Kuinka tarkistaa, onko Connect Secure -laitteesi altistunut

Jos ylläpidät Ivanti Connect Securea, oleta sen olevan mahdollinen kohde, kunnes sinulla on todisteita muusta. Muutama järkevä tarkistus:

  1. Vahvista altistumisesi. Selvitä, onko laite saavutettavissa internetistä ja kuka voi päästä sen hallintakäyttöliittymään. Mikään, jonka ei tarvitse olla julkinen, ei saisi olla sitä.
  2. Seuraa Ivantin tiedotteita. Toimittaja on virallisten korjausten, lievennysten ja tunnistusohjeiden virallinen lähde, ja nämä tiedot voivat muuttua tutkinnan jatkuessa.
  3. Käytä toimittajan eheystyökaluja. Jos Ivanti tarjoaa eheydentarkistustyökalun tai vastaavan työkalun tuotteellesi, suorita se. Suhtaudu puhtaaseen tulokseen varovaisesti, sillä root-tason hyökkääjä voi peukaloida sitä, mitä laite raportoi itsestään.
  4. Käy läpi lokit. Etsi epätavallisia kirjautumisia, odottamattomia hallinnollisia muutoksia, outoja lähteviä yhteyksiä ja todennustoimintaa outoina aikoina tai tuntemattomista paikoista.
  5. Kysy tietoturvatiimiltäsi tai palveluntarjoajaltasi. Jos et ole järjestelmänvalvoja, kysy heiltä suoraan, onko laite tarkistettu.

Lievennyskeinot: kierrätä tunnistetiedot, valvo ja kerrosta puolustus

Koska korjaus ei voi täysin ratkaista nollapäiväongelmaa, puolustuksen on oltava kerroksellista.

  • Kierrätä tunnistetiedot. Jos vaarantuminen on mahdollista, vaihda VPN-käyttäjien, palvelutilien ja kaikkien laitteeseen tallennettujen tai sen kautta kulkevien salaisuuksien salasanat. Tee tämä sen jälkeen, kun olet suojannut laitteen, tai myös uudet tunnistetiedot voivat joutua siepatuiksi.
  • Ota monivaiheinen todennus käyttöön. Se rajoittaa sitä, mitä pelkillä varastetuilla salasanoilla voidaan tehdä, vaikka se ei ole täydellinen ratkaisu, jos hyökkääjä hallitsee itse yhdyskäytävää.
  • Segmentoi verkko. VPN-käyttäjien tulisi päästä vain tarvitsemiinsa järjestelmiin, jotta vaarantunut tili tai laite ei voi liikkua vapaasti.
  • Valvo jatkuvasti. Lähetä laitteen lokit erilliseen järjestelmään, jota laite ei voi muuttaa, ja aseta hälytyksiä poikkeuksista.
  • Varaudu uudelleenrakentamiseen. Jos havaitset merkkejä vaarantumisesta, noudata toimittajan ohjeita laitteen uudelleenrakentamisesta sen sijaan, että olettaisit yksinkertaisen puhdistuksen riittävän.

Mitä tämä merkitsee sinulle

Jos olet järjestelmänvalvoja, opetus on, että paikkaustila ei ole sama asia kuin turvallisuus. Reunalaitteet tarvitsevat valvontaa, rajoitettua altistumista ja poikkeamasuunnitelman, eivät pelkkiä päivityksiä. Jos olet VPN-käyttäjä organisaatiossa, joka käyttää Connect Securea, et hallitse laitetta, mutta voit vaihtaa salasanasi, ottaa monivaiheisen todennuksen käyttöön siellä, missä sitä tarjotaan, ja ilmoittaa kaikesta oudosta, kuten odottamattomista kirjautumiskehotteista tai tietoturvahälytyksistä.

Seuraavat vaiheet

Käy läpi Ivanti Connect Secure -nollapäivähyväksikäytön altistumisesi tänään: tarkista, kuka voi päästä laitteeseen, lue uusimmat Ivantin ohjeet ja kierrätä tunnistetiedot, jos havaitset merkkejä vaarantumisesta. Taustatietoja siitä, miten paljastus ja paikkausaikataulu etenivät, saat aiemmasta raportistamme Ivantin havaitessa haavoittuvuuden kesäkuussa ilman korjausta. Tämän hyväksikäyttöketjun yksityiskohdat voivat muuttua, kun uutta tietoa ilmenee, joten tarkista viralliset lähteet säännöllisesti.