Ivanti tvrdi da je dio nedostatka koji stoji za nedavno iskorištenim Ivanti Connect Secure zero-dayjem uočio mjesecima prije nego što su ga napadači iskoristili, ali je zaključio da problem ne zadovoljava kriterije za izvanredno izdanje. Prema izvješću CyberScoopa, tvrtka je dio ranjivosti pronašla tijekom internih sigurnosnih provjera u lipnju. U trenutku kada je zakrpa postala hitna, napadači su već iskorištavali grešku u stvarnom svijetu.

Upravo taj slijed događaja čini ovu priču značajnom. Manje je riječ o iznenađujućoj ranjivosti, a više o procjeni koja nije dobro ostarjela.

Što je Ivanti pronašao u lipnju i zašto je čekao

Ivantijevo objašnjenje, kako ga sažima CyberScoop, usko je, ali važno. Tvrtkine vlastite interne provjere otkrile su dio nedostatka u lipnju. Ivanti ga je zatim procijenio prema svojim kriterijima za izvanredno izdanje, što znači zakrpu koja se isporučuje izvan uobičajenog planiranog ciklusa ažuriranja, i zaključio da ne doseže taj prag.

U praksi, dobavljači trijažiraju pronalaske prema ozbiljnosti, mogućnosti iskorištavanja i dokazima o zloupotrebi. Greška koja se sama po sebi čini teško dostupnom ili niskog utjecaja često čeka sljedeće redovno ažuriranje. Kvaka je u tome što tvrtka kaže da je vidjela samo dio nedostatka. Djelomičan uvid u ranjivost može podcijeniti koliko je opasna kada netko pronađe ostatak.

Ovdje navedeni izvorni materijal ne opisuje potpunu tehničku prirodu greške, pa je vrijedno biti oprezan oko onoga što se zna, a što ne. Ono što je izviješteno: datum otkrića, interna procjena i odluka da se ne požuri s ispravkom.

Kako je ranjivost postala iskorišteni zero-day

Ranjivost postaje zero-day kada je napadači iskoriste prije nego što zakrpa postoji. To je situacija izviještena za Connect Secure. Budući da ispravak nije bio isporučen, branitelji nisu imali službeni lijek kada je počelo aktivno iskorištavanje.

Connect Secure je široko rasprostranjen VPN pristupnik i to je važno. Ovakvi pristupnici stoje na rubu mreže, po dizajnu su izloženi internetu i često zauzimaju privilegiran položaj između vanjskih korisnika i unutarnjih sustava. Slabost u jednom od njih privlačna je napadačima jer jedno kompromitirano uređaje može ponuditi put unutra bez dodirivanja prijenosnog računala ili sandučića zaposlenika.

Također je korisno prisjetiti se koga obično zanima ova klasa uređaja. Naše izvješće o tome kako su DOJ i FBI zaplijenili alate Flax Typhoon Microscan i FishHub pokazuje da skupine povezane s državom ulažu znatna sredstva u alate usmjerene na infrastrukturu izloženu internetu. Izvješće o Ivantiju ne pripisuje ovo iskorištavanje nijednom konkretnom akteru, pa to uzmite kao kontekst, a ne kao zaključak.

Što administratori Connect Securea trebaju provjeriti sada

Ako vaša organizacija koristi Connect Secure, ovi su koraci razumno polazište:

  • Potvrdite svoju verziju. Provjerite točnu verziju softvera na svakom pristupniku, uključujući testne i rezervne jedinice koje je lako zaboraviti.
  • Pročitajte trenutni Ivantijev savjet. Potražite zakrpu ili privremeno ublažavanje povezano s ovom ranjivošću i primijenite ga čim vaš proces promjena to dopusti.
  • Iskoristite ugrađene alate za integritet. Ako Ivanti pruža provjeru integriteta za uređaj, pokrenite je i sačuvajte njezin izlaz za kasniju usporedbu.
  • Pregledajte zapise za neobičnu aktivnost. Potražite neočekivane administrativne sesije, nove račune, čudne odlazne veze ili promjene konfiguracije koje niste napravili.
  • Rotirajte vjerodajnice gdje je kompromitacija moguća. Resetirajte lozinke i tajne pohranjene na pristupniku ili koje on koristi ako pronađete znakove zloupotrebe. Izlaganje vjerodajnica zaseban je, čest problem; SpyCloudovi nalazi o 1.800 vodovodnih komunalija izloženih infostealer malveru podsjetnik su kako ukradene prijave mogu povećati rizik rubnih uređaja.
  • Ograničite izloženost. Restringirajte upravljačka sučelja tako da nisu dostupna s otvorenog interneta.

Ako ne možete odmah primijeniti zakrpu, slijedite sve smjernice za ublažavanje koje je dobavljač objavio i pomnije nadzirite uređaj dok to ne možete učiniti.

Što politike zakrpa dobavljača znače za povjerenje u VPN

Lipanjsko otkriće postavlja opravdano pitanje o tome kako dobavljači postavljaju prag za hitne ispravke. Izvanredne zakrpe ometaju korisnike, pa dobavljači ne žele izdavati ih za svaki pronalazak. No cijena čekanja je nerazmjerna kada je proizvod sigurnosni pristupnik koji stoji na perimetru.

Nijedna strana te razmjene nije na prvi pogled nerazumna. Pouka je da interna ocjena ozbiljnosti dobavljača nije isto što i stvarni rizik. Napadače nije briga je li ranjivost klasificirana ispod praga za izdanje; njih zanima funkcionira li.

Za korisnike to znači da dobavljačima treba postavljati izravna pitanja: Kako odlučujete što opravdava izvanredni ispravak? Koliko brzo obavještavate korisnike o problemima pronađenim interno? Što se događa kada se djelomično shvaćena greška kasnije pokaže iskoristivom? Odgovori na ta pitanja govore više o povjerenju nego marketinška stranica.

Što to znači za vas

Ako ste pojedinac koji koristi VPN poslodavca ili škole koji se oslanja na Connect Secure, ne možete sami zakrpati pristupnik, ali možete djelovati. Pitajte svoj IT tim je li uređaj ažuriran i koristite jake, jedinstvene lozinke i višefaktorsku autentifikaciju na svakom računu koji je s njim povezan. Ako vam kažu da promijenite lozinku, učinite to odmah.

Ako upravljate pristupnikom, shvatite ovo kao poticaj da pregledate cijeli svoj rubni inventar, ne samo jedan proizvod. Svaki uređaj izložen internetu zaslužuje jednaku pažnju prema verziji, izloženosti i zapisima.

Ključni zaključci

Ivanti Connect Secure zero-day podsjetnik je da je razdoblje između otkrića i ispravka jednako važno kao i sama ranjivost. Ivanti tvrdi da je dio nedostatka pronašao u lipnju i procijenio ga ispod praga za izvanredno izdanje; napadači su ga zatim prvi dosegnuli.

Ako koristite Ivantijeve pristupnike ili ovisite o njima, provjerite svoju verziju danas, primijenite najnovije zakrpe i ublažavanja te nastavite pratiti Ivantijeve sigurnosne savjete kako se situacija razvija. Za širi kontekst o tome ko cilja rubne uređaje i zašto, pročitajte naše izvješće o zapljeni alata Flax Typhoon.