Une chaîne d'exploitation zero-day ciblant les appliances VPN Ivanti Connect Secure a été observée dans la nature, selon un rapport de la société de sécurité Rescana. L'impact rapporté est grave : des attaquants non authentifiés peuvent atteindre une exécution de code à distance avec privilèges root et voler des identifiants, même sur des appliances entièrement corrigées. Cet exploit zero-day sur Ivanti Connect Secure rappelle qu'une passerelle VPN située en bordure de réseau est l'une des cibles les plus précieuses qu'un attaquant puisse choisir.

Le rapport source n'est que partiellement disponible pour nous, aussi cet article s'en tient à ce qui est confirmé et évite de spéculer sur les détails techniques. Lorsque nous offrons des conseils, il s'agit de bonnes pratiques générales de sécurité et non d'instructions émises par l'éditeur.

Pourquoi une appliance VPN entièrement corrigée a quand même été compromise

Le terme « zero-day » explique l'essentiel. Un zero-day est une faille que les attaquants exploitent avant qu'un correctif n'existe, donc installer toutes les mises à jour disponibles ne protège pas contre elle. Une appliance entièrement corrigée n'est protégée que contre les problèmes déjà connus et corrigés.

Le rapport décrit une chaîne d'exploitation, c'est-à-dire plusieurs faiblesses liées entre elles. Les chaînes sont courantes dans les attaques graves, car un seul bug donne rarement un contrôle total à lui seul. Combinée, une série de failles plus petites peut faire passer un attaquant d'une absence totale d'accès au contrôle complet de l'appareil, sans aucune authentification requise.

Pour situer le contexte temporel, vpn.social a déjà couvert la connaissance antérieure par Ivanti d'une partie de la faille. Dans cette couverture, Ivanti indiquait avoir repéré une partie du défaut des mois avant que les attaquants ne l'exploitent, mais avoir jugé qu'il ne répondait pas aux critères pour une publication hors cycle. Cette histoire compte, car elle montre combien de temps peut s'écouler entre le moment où un éditeur remarque un problème et celui où les clients reçoivent un correctif.

Ce que l'accès root et le vol d'identifiants signifient pour les utilisateurs

Root est le niveau de privilège le plus élevé sur un système basé sur Linux. Un attaquant disposant de root sur une appliance VPN n'est pas limité à ce qu'un utilisateur normal pourrait faire. Il peut potentiellement lire ou modifier tout ce que l'appareil traite, altérer sa configuration et exécuter son propre code.

Le vol d'identifiants est l'aspect qui touche le plus les utilisateurs ordinaires. Une appliance VPN traite les connexions des employés, des sous-traitants et des partenaires. Si un attaquant peut capturer ces identifiants, les dégâts peuvent se propager bien au-delà de l'appliance :

  • Les noms d'utilisateur et mots de passe volés peuvent être réutilisés pour atteindre des systèmes internes, la messagerie et les services cloud.
  • Les comptes compromis peuvent ressembler à des télétravailleurs légitimes, ce qui rend l'activité malveillante plus difficile à repérer.
  • Les attaquants peuvent conserver l'accès grâce aux identifiants volés même après que l'appliance elle-même a été nettoyée.

Si vous vous connectez à votre lieu de travail via Connect Secure, le risque pratique est que vos identifiants de connexion puissent être exposés sans que vous ayez fait quoi que ce soit de mal.

Comment vérifier si votre appliance Connect Secure est exposée

Si vous exploitez Ivanti Connect Secure, partez du principe qu'elle est une cible possible jusqu'à preuve du contraire. Quelques vérifications sensées :

  1. Confirmez votre exposition. Déterminez si l'appliance est joignable depuis Internet et qui peut accéder à son interface d'administration. Tout ce qui n'a pas besoin d'être public ne devrait pas l'être.
  2. Surveillez les avis d'Ivanti. L'éditeur est la source faisant autorité pour les correctifs officiels, les mesures d'atténuation et les conseils de détection, et ces détails peuvent évoluer à mesure que l'enquête se poursuit.
  3. Utilisez les outils d'intégrité de l'éditeur. Si Ivanti fournit un vérificateur d'intégrité ou un outil similaire pour votre produit, exécutez-le. Accueillez un résultat propre avec prudence, car un attaquant avec des privilèges root peut altérer ce que l'appareil rapporte sur lui-même.
  4. Examinez les journaux. Recherchez des connexions inhabituelles, des modifications administratives inattendues, des connexions sortantes étranges et une activité d'authentification à des heures étranges ou depuis des lieux inconnus.
  5. Demandez à votre équipe de sécurité ou à votre fournisseur. Si vous n'êtes pas l'administrateur, demandez-leur directement si l'appliance a été vérifiée.

Mesures d'atténuation : renouveler les identifiants, surveiller et superposer les défenses

Parce qu'un correctif ne peut pas entièrement résoudre un problème zero-day, la défense doit être superposée.

  • Renouvelez les identifiants. Si une compromission est possible, changez les mots de passe des utilisateurs VPN, des comptes de service et de tout secret stocké sur l'appliance ou transitant par elle. Faites-le après avoir sécurisé l'appareil, sinon les nouveaux identifiants pourraient être capturés eux aussi.
  • Imposez l'authentification multifacteur. Elle limite ce que des mots de passe volés seuls peuvent permettre de faire, bien qu'elle ne soit pas une réponse complète si un attaquant contrôle la passerelle elle-même.
  • Segmentez le réseau. Les utilisateurs VPN ne devraient atteindre que les systèmes dont ils ont besoin, afin qu'un compte ou un appareil compromis ne puisse pas se déplacer librement.
  • Surveillez en continu. Envoyez les journaux de l'appliance vers un système distinct que l'appliance ne peut pas altérer, et déclenchez des alertes sur les anomalies.
  • Prévoyez des reconstructions. Si vous trouvez des signes de compromission, suivez les conseils de l'éditeur pour reconstruire l'appareil plutôt que de supposer qu'un simple nettoyage suffit.

Ce que cela signifie pour vous

Si vous êtes administrateur, la leçon est que le statut de correctif n'est pas synonyme de sécurité. Les appareils en bordure de réseau ont besoin de surveillance, d'une exposition restreinte et d'un plan de gestion d'incident, pas seulement de mises à jour. Si vous êtes un utilisateur VPN dans une organisation qui exploite Connect Secure, vous ne contrôlez pas l'appliance, mais vous pouvez changer votre mot de passe, activer l'authentification multifacteur lorsqu'elle est proposée et signaler tout comportement étrange, comme des invites de connexion inattendues ou des alertes de sécurité.

Prochaines étapes

Évaluez dès aujourd'hui votre exposition à cet exploit zero-day sur Ivanti Connect Secure : vérifiez qui peut atteindre l'appliance, lisez les derniers conseils d'Ivanti et renouvelez les identifiants au moindre signe de compromission. Pour le contexte sur le déroulement de la divulgation et du calendrier de correction, lisez notre rapport précédent sur Ivanti ayant découvert la faille en juin sans publier de correctif. Les détails de cette chaîne d'exploitation peuvent changer à mesure que de nouvelles informations émergent, alors continuez à consulter les sources officielles.