Ivanti kertoo havainneensa osan vastikään hyödynnetyn Ivanti Connect Secure -nollapäivän taustalla olevasta virheestä kuukausia ennen kuin hyökkääjät käyttivät sitä, mutta päätti, ettei ongelma täyttänyt kriteerejä suunnitellun ulkopuoliseen julkaisuun. CyberScoopin raportin mukaan yhtiö löysi osan haavoittuvuudesta sisäisissä tietoturvatarkastuksissaan kesäkuussa. Kun korjaus tuli kiireelliseksi, hyökkääjät hyödynsivät jo bugia luonnossa.

Tämä aikajärjestys tekee tarinasta merkittävän. Kyse on vähemmän yllättävästä haavoittuvuudesta ja enemmän harkintapäätöksestä, joka ei kestänyt aikaa.

Mitä Ivanti löysi kesäkuussa ja miksi se odotti

Ivantin selitys, sellaisena kuin CyberScoop on sen tiivistänyt, on suppea mutta tärkeä. Yhtiön omat sisäiset tarkastukset paljastivat osan virheestä kesäkuussa. Ivanti arvioi sitä suunnitellun ulkopuolisen julkaisun kriteerejään vasten – eli korjauksen, joka toimitetaan normaalin päivityssyklin ulkopuolella – ja päätteli, ettei se ylittänyt tätä kynnystä.

Käytännössä toimittajat lajittelevat havaintoja vakavuuden, hyödynnettävyyden ja väärinkäytön todisteiden perusteella. Bugi, joka vaikuttaa yksinään vaikeasti saavutettavalta tai vähäiseltä, odottaa usein seuraavaa säännöllistä päivitystä. Kompastuskivi on se, että yhtiö kertoo nähneensä vain osan virheestä. Osittainen näkymä haavoittuvuuteen voi aliarvioida sen vaarallisuuden, kun joku löytää loput.

Tässä tarjottu lähdemateriaali ei yksilöi bugin täyttä teknistä luonnetta, joten on syytä olla huolellinen sen suhteen, mikä tiedetään ja mikä ei. Se, mikä on raportoitu: löytöpäivä, sisäinen arviointi ja päätös olla kiirehtimättä korjausta.

Miten haavoittuvuudesta tuli hyödynnetty nollapäivä

Haavoittuvuudesta tulee nollapäivä, kun hyökkääjät hyödyntävät sitä ennen kuin korjaus on olemassa. Tämä on Connect Securesta raportoitu tilanne. Koska korjausta ei ollut toimitettu, puolustajilla ei ollut virallista ratkaisua, kun aktiivinen hyödyntäminen alkoi.

Connect Secure on laajalti käyttöönotettu VPN-yhdyskäytävä, ja sillä on merkitystä. Tällaiset yhdyskäytävät sijaitsevat verkon reunalla, kohtaavat internetin suunnittelunsa mukaisesti ja ovat usein etuoikeutetussa asemassa ulkopuolisten käyttäjien ja sisäisten järjestelmien välillä. Heikkous yhdessä niistä on houkutteleva hyökkääjille, koska yksi vaarantunut laite voi tarjota tien sisään koskematta työntekijän kannettavaan tietokoneeseen tai sähköpostiin.

On myös hyvä muistaa, ketkä yleensä tavoittelevat tämän luokan laitteita. Käsittelymme siitä, miten DOJ ja FBI takavarikoivat Flax Typhoon -työkalut Microscanin ja FishHubin, osoittaa, että valtioihin kytkeytyneet ryhmät panostavat voimakkaasti internetiin rajautuvaan infrastruktuuriin kohdistuvaan työkaluun. Ivantia koskeva raportointi ei yhdistä tätä hyödyntämistä mihinkään tiettyyn toimijaan, joten se on syytä käsitellä taustatietona eikä johtopäätöksenä.

Mitä Connect Secure -järjestelmänvalvojien tulisi tarkistaa nyt

Jos organisaatiosi käyttää Connect Securea, nämä vaiheet ovat järkevä lähtökohta:

  • Vahvista versionsa. Tarkista tarkka ohjelmistoversio jokaisesta yhdyskäytävästä, mukaan lukien testi- ja varalaitteet, jotka on helppo unohtaa.
  • Lue nykyinen Ivantin turvatiedote. Etsi tähän haavoittuvuuteen liittyvä korjaus tai väliaikainen lievennys ja ota se käyttöön heti, kun muutosprosessisi sallii.
  • Käytä sisäänrakennettuja eheyden tarkistustyökaluja. Jos Ivanti tarjoaa laitteelle eheyden tarkistajan, aja se ja tallenna sen tuloste myöhempää vertailua varten.
  • Tarkista lokit epätavallisen toiminnan varalta. Etsi odottamattomia järjestelmänvalvojan istuntoja, uusia tilejä, outoja lähteviä yhteyksiä tai tekemiäsi kuulumattomia kokoonpanomuutoksia.
  • Vaihda tunnistetiedot, jos vaarantuminen on mahdollista. Nollaa salasanat ja salaisuudet, jotka on tallennettu yhdyskäytävään tai joita se käyttää, jos havaitset merkkejä väärinkäytöstä. Tunnistetietojen paljastuminen on erillinen, yleinen ongelma; SpyCloudin havainnot infostealer-haittaohjelmalle altistuneista vesilaitoksista muistuttavat siitä, miten varastetut kirjautumistiedot voivat pahentaa reunalaiteiden riskiä.
  • Rajoita altistumista. Rajoita hallintaliittymiä niin, ettei niihin pääse avoimesta internetistä.

Jos et voi korjata heti, noudata toimittajan julkaisemia lievennysohjeita ja seuraa laitetta tarkemmin, kunnes voit.

Mitä toimittajien korjauskäytännöt merkitsevät VPN-luottamukselle

Kesäkuinen löytö herättää aiheellisen kysymyksen siitä, miten toimittajat asettavat kiireellisten korjausten kynnyksen. Suunnitellun ulkopuoliset korjaukset ovat asiakkaille häiritseviä, joten toimittajat eivät halua julkaista niitä jokaisesta havainnosta. Mutta odottamisen hinta on epäsuhtainen, kun tuote on kehän reunalla sijaitseva tietoturvayhdyskäytävä.

Kumpikaan puoli tätä vaihtokauppaa ei ole pinnallisesti katsoen kohtuuton. Opetus on, että toimittajan sisäinen vakavuusluokitus ei ole sama asia kuin todellinen riski. Hyökkääjiä ei kiinnosta, luokiteltiinko haavoittuvuus julkaisukynnyksen alapuolelle; heitä kiinnostaa, toimiiko se.

Asiakkaille tämä puhuu suorien kysymysten esittämisen puolesta toimittajille: Miten päätätte, mikä vaatii suunnitellun ulkopuolisen korjauksen? Kuinka nopeasti ilmoitatte asiakkaille sisäisesti löydetyistä ongelmista? Mitä tapahtuu, kun osittain ymmärretty bugi todetaan myöhemmin hyödynnettäväksi? Vastaukset näihin kysymyksiin kertovat luottamuksesta enemmän kuin markkinointisivu.

Mitä tämä tarkoittaa sinulle

Jos olet yksityishenkilö, joka käyttää työnantajan tai koulun VPN:ää, joka nojautuu Connect Secureen, et voi itse korjata yhdyskäytävää, mutta voit toimia. Kysy IT-tiimiltäsi, onko laite päivitetty, ja käytä vahvoja, yksilöllisiä salasanoja ja monivaiheista tunnistautumista kaikissa tileissä, jotka liittyvät siihen. Jos sinua kehotetaan vaihtamaan salasana, tee se viipymättä.

Jos ylläpidät yhdyskäytävää, pidä tätä kehotuksena tarkastella koko reunainventaariotasi, ei vain yhtä tuotetta. Jokainen internetiin rajautuva laite ansaitsee saman huomion version, altistumisen ja lokituksen suhteen.

Keskeiset huomiot

Ivanti Connect Secure -nollapäivä muistuttaa, että löytämisen ja korjauksen välinen aikaikkuna on yhtä tärkeä kuin itse haavoittuvuus. Ivanti kertoo löytäneensä osan virheestä kesäkuussa ja arvioineensa sen suunnitellun ulkopuolisen kynnyksen alapuolelle; hyökkääjät ehtivät sitten siihen ensin.

Jos ylläpidät tai olet riippuvainen Ivantin yhdyskäytävistä, tarkista versionsa tänään, ota uusimmat korjaukset ja lievennykset käyttöön ja seuraa Ivantin tietoturvatiedotteita tilanteen kehittyessä. Laajempaa taustaa varten siitä, kuka kohdistaa reunalaitteisiin ja miksi, lue raporttimme Flax Typhoon -työkalujen takavarikoinnista.