Ivanti affirme avoir repéré une partie du défaut à l'origine d'un Ivanti Connect Secure zero-day nouvellement exploité des mois avant que les attaquants ne l'utilisent, mais avoir jugé que le problème ne remplissait pas les critères pour une publication hors cycle. Selon un article de CyberScoop, l'entreprise a découvert une partie de la faille lors de contrôles de sécurité internes en juin. Au moment où un correctif est devenu urgent, les attaquants exploitaient déjà la vulnérabilité dans la nature.

C'est cette séquence qui rend cette histoire notable. Il s'agit moins d'une vulnérabilité surprise que d'un jugement qui n'a pas bien vieilli.

Ce qu'Ivanti a découvert en juin et pourquoi l'entreprise a attendu

L'explication d'Ivanti, telle que résumée par CyberScoop, est étroite mais importante. Les contrôles internes de l'entreprise ont mis au jour une partie du défaut en juin. Ivanti a ensuite évalué celui-ci par rapport à ses critères pour une publication hors cycle, c'est-à-dire un correctif diffusé en dehors du cycle de mise à jour programmé habituel, et a conclu qu'il n'atteignait pas ce seuil.

En pratique, les éditeurs trient les découvertes selon la gravité, l'exploitabilité et les preuves d'abus. Un bug qui semble difficile à atteindre ou à faible impact en soi attend souvent la prochaine mise à jour régulière. Le hic, c'est que l'entreprise affirme n'avoir vu qu'une partie du défaut. Une vision partielle d'une faille peut sous-estimer sa dangerosité une fois que quelqu'un en découvre le reste.

Les sources fournies ici ne détaillent pas la nature technique complète du bug, il convient donc d'être prudent sur ce qui est connu et ce qui ne l'est pas. Ce qui est rapporté : la date de découverte, l'évaluation interne et la décision de ne pas précipiter un correctif.

Comment la faille est devenue un zero-day exploité

Une vulnérabilité devient un zero-day lorsque des attaquants l'exploitent avant qu'un correctif n'existe. C'est la situation rapportée pour Connect Secure. Comme le correctif n'avait pas été diffusé, les défenseurs ne disposaient d'aucun remède officiel lorsque l'exploitation active a commencé.

Connect Secure est une passerelle VPN largement déployée, et cela compte. Les passerelles de ce type se trouvent à la périphérie d'un réseau, font face à Internet par conception et occupent souvent une position privilégiée entre les utilisateurs externes et les systèmes internes. Une faiblesse dans l'une d'elles est attrayante pour les attaquants, car un seul appareil compromis peut offrir un point d'entrée sans toucher à l'ordinateur portable ou à la boîte mail d'un employé.

Il est également utile de se rappeler qui a tendance à s'en prendre à cette classe d'appareils. Notre article sur la saisie par le DOJ et le FBI des outils Microscan et FishHub de Flax Typhoon montre que les groupes liés à des États investissent massivement dans des outils ciblant les infrastructures exposées à Internet. L'article sur Ivanti n'attribue pas cette exploitation à un acteur particulier, il faut donc le considérer comme un contexte et non comme une conclusion.

Ce que les administrateurs de Connect Secure doivent vérifier maintenant

Si votre organisation utilise Connect Secure, ces étapes constituent un point de départ raisonnable :

  • Confirmez votre version. Vérifiez la version exacte du logiciel sur chaque passerelle, y compris les unités de test et de basculement que l'on oublie facilement.
  • Lisez l'avis actuel d'Ivanti. Recherchez le correctif ou l'atténuation temporaire lié à cette faille, et appliquez-le dès que votre processus de changement le permet.
  • Utilisez les outils d'intégrité intégrés. Si Ivanti fournit un vérificateur d'intégrité pour l'appliance, exécutez-le et conservez sa sortie pour comparaison ultérieure.
  • Examinez les journaux à la recherche d'activités inhabituelles. Recherchez des sessions administratives inattendues, de nouveaux comptes, des connexions sortantes étranges ou des modifications de configuration que vous n'avez pas effectuées.
  • Renouvelez les identifiants là où une compromission est possible. Réinitialisez les mots de passe et les secrets stockés sur la passerelle ou utilisés par celle-ci si vous trouvez des signes d'abus. L'exposition des identifiants est un problème distinct et courant ; les conclusions de SpyCloud sur les services d'eau exposés à un malware voleur d'informations rappellent comment des identifiants volés peuvent aggraver le risque lié aux appareils de périphérie.
  • Limitez l'exposition. Restreignez les interfaces de gestion afin qu'elles ne soient pas accessibles depuis l'Internet ouvert.

Si vous ne pouvez pas corriger immédiatement, suivez les conseils d'atténuation publiés par l'éditeur et surveillez l'appareil de plus près jusqu'à ce que ce soit possible.

Ce que les politiques de correctifs des éditeurs signifient pour la confiance dans les VPN

La découverte de juin soulève une question légitime sur la manière dont les éditeurs fixent le seuil des correctifs urgents. Les correctifs hors cycle sont perturbateurs pour les clients, les éditeurs ne veulent donc pas en publier pour chaque découverte. Mais le coût de l'attente est déséquilibré lorsque le produit est une passerelle de sécurité située au périmètre.

Aucun des deux côtés de ce compromis n'est déraisonnable en soi. La leçon est que l'évaluation interne de gravité d'un éditeur n'est pas la même chose que le risque réel. Les attaquants se moquent de savoir si une faille a été classée en dessous d'un seuil de publication ; ce qui les intéresse, c'est de savoir si elle fonctionne.

Pour les clients, cela plaide en faveur de questions directes aux éditeurs : comment décidez-vous ce qui justifie un correctif hors cycle ? À quelle vitesse informez-vous les clients des problèmes découverts en interne ? Que se passe-t-il lorsqu'un bug partiellement compris s'avère ensuite exploitable ? Les réponses à ces questions en disent plus sur la confiance qu'une page marketing.

Ce que cela signifie pour vous

Si vous êtes un particulier utilisant un VPN d'un employeur ou d'un établissement qui s'appuie sur Connect Secure, vous ne pouvez pas corriger la passerelle vous-même, mais vous pouvez agir. Demandez à votre équipe informatique si l'appliance a été mise à jour, et utilisez des mots de passe forts et uniques ainsi que l'authentification multifacteur sur tout compte qui y est lié. Si l'on vous demande de changer un mot de passe, faites-le rapidement.

Si vous administrez la passerelle, considérez cela comme une invitation à revoir l'ensemble de votre inventaire de périphérie, pas seulement un produit. Tout appareil exposé à Internet mérite la même attention en matière de version, d'exposition et de journalisation.

Points clés à retenir

L'Ivanti Connect Secure zero-day rappelle que la fenêtre entre la découverte et le correctif compte autant que la faille elle-même. Ivanti affirme avoir découvert une partie du défaut en juin et l'avoir jugé en dessous du seuil hors cycle ; les attaquants l'ont ensuite atteint en premier.

Si vous administrez ou dépendez de passerelles Ivanti, vérifiez votre version dès aujourd'hui, appliquez les derniers correctifs et atténuations, et continuez à consulter les avis de sécurité d'Ivanti à mesure que la situation évolue. Pour un contexte plus large sur qui cible les appareils de périphérie et pourquoi, lisez notre rapport sur les saisies d'outils de Flax Typhoon.