Egy Ivanti Connect Secure VPN-eszközöket célzó nulladik napi sebezhetőség-láncot figyeltek meg a vadonban a Rescana biztonsági cég jelentése szerint. A jelentett hatás súlyos: hitelesítés nélküli támadók root szintű távoli kódfuttatást érhetnek el és hitelesítő adatokat lophatnak, még a teljesen javított eszközökön is. Ez az Ivanti Connect Secure nulladik napi sebezhetőség emlékeztető arra, hogy a hálózat peremén ülő VPN-átjáró az egyik legértékesebb célpont, amit egy támadó választhat.

A forrásjelentés csak részben elérhető számunkra, ezért ez a cikk ahhoz tartja magát, ami megerősített, és elkerüli a technikai részletekre vonatkozó találgatásokat. Ahol útmutatást adunk, az általános biztonsági gyakorlat, nem pedig a gyártó által kiadott utasítások.

Miért volt egy teljesen javított VPN-eszköz is kompromittálható

A „nulladik napi" szó elmagyarázza a legtöbbet. A nulladik napi egy olyan hiba, amelyet a támadók még a javítás létezése előtt kihasználnak, így az összes elérhető frissítés telepítése sem nyújt ellene védelmet. Egy teljesen javított eszköz csak azok ellen a problémák ellen védett, amelyek már ismertek és javítottak.

A jelentés egy sebezhetőség-láncot ír le, ami több gyengeség összekapcsolását jelenti. A láncok gyakoriak a súlyos támadásokban, mert egy hiba ritkán ad teljes irányítást önmagában. Együtt egy sor kisebb hiba elviheti a támadót a teljes hozzáférés hiányától az eszköz teljes irányításáig, bejelentkezés nélkül.

Az időzítés kontextusához a vpn.social már foglalkozott azzal, hogy az Ivanti korábban ismerte a hiba egy részét. Abban a cikkben az Ivanti azt mondta, hogy a hiba egy részét hónapokkal azelőtt észlelte, hogy a támadók kihasználták volna, de úgy ítélte meg, hogy nem éri el a sávon kívüli kiadás küszöbét. Ez a történet azért számít, mert megmutatja, milyen hosszú lehet a rés a gyártó problémafelismerése és az ügyfelek javításhoz jutása között.

Mit jelentenek a root hozzáférés és a hitelesítő adatok lopása a felhasználók számára

A root a legmagasabb jogosultsági szint egy Linux-alapú rendszeren. Egy VPN-eszközön root jogosultsággal rendelkező támadó nincs korlátozva ahhoz, amit egy normál felhasználó tehetne. Lehetősége lehet bármit olvasni vagy módosítani, amit az eszköz kezel, megváltoztathatja a konfigurációját, és saját kódot futtathat.

A hitelesítő adatok lopása az a rész, amely a leginkább érinti a hétköznapi felhasználókat. Egy VPN-eszköz az alkalmazottak, szerződő felek és partnerek bejelentkezéseit kezeli. Ha egy támadó el tudja kapni ezeket a hitelesítő adatokat, a kár messze túlterjedhet az eszközön:

  • A ellopott felhasználónevek és jelszavak újra felhasználhatók belső rendszerek, e-mail és felhőszolgáltatások eléréséhez.
  • A kompromittált fiókok úgy nézhetnek ki, mint a legitim távmunkavállalók, ami megnehezíti a rosszindulatú tevékenység észlelését.
  • A támadók ellopott hitelesítő adatokon keresztül fenntarthatják a hozzáférést még azután is, hogy magát az eszközt megtisztították.

Ha Connect Secure-en keresztül csatlakozik a munkahelyéhez, a gyakorlati kockázat az, hogy a bejelentkezési adatai kikerülhetnek anélkül, hogy bármit is rosszul tenne.

Hogyan ellenőrizze, hogy a Connect Secure eszköze ki van-e téve

Ha Ivanti Connect Secure-t üzemeltet, tekintse lehetséges célpontnak mindaddig, amíg nincs bizonyítéka az ellenkezőjére. Néhány ésszerű ellenőrzés:

  1. Erősítse meg a kitettségét. Tudja meg, hogy az eszköz elérhető-e az internetről, és ki férhet hozzá a kezelési felületéhez. Aminek nem kell nyilvánosnak lennie, annak nem szabad nyilvánosnak lennie.
  2. Figyelje az Ivanti tanácsait. A gyártó a hivatalos javítások, enyhítések és észlelési útmutatás mérvadó forrása, és ezek a részletek változhatnak, ahogy a vizsgálat folytatódik.
  3. Használja a gyártó integritásellenőrző eszközeit. Ha az Ivanti biztosít integritásellenőrzőt vagy hasonló eszközt a termékéhez, futtassa azt. A tiszta eredményt némi óvatossággal kezelje, mivel egy root szintű támadó manipulálhatja azt, amit az eszköz önmagáról jelent.
  4. Tekintse át a naplókat. Keressen szokatlan bejelentkezéseket, váratlan adminisztratív változtatásokat, furcsa kimenő kapcsolatokat és hitelesítési tevékenységet szokatlan időpontokban vagy ismeretlen helyekről.
  5. Kérdezze meg a biztonsági csapatát vagy szolgáltatóját. Ha nem Ön a rendszergazda, kérdezze meg közvetlenül, hogy az eszközt ellenőrizték-e.

Enyhítési lépések: hitelesítő adatok cseréje, megfigyelés és rétegzett védelem

Mivel egy javítás nem tudja teljesen megoldani a nulladik napi problémát, a védelemnek rétegzettnek kell lennie.

  • Cserélje le a hitelesítő adatokat. Ha a kompromittálódás lehetséges, változtassa meg a VPN-felhasználók, szolgáltatásfiókok és az eszközön tárolt vagy azon áthaladó titkok jelszavait. Ezt azután tegye, hogy biztosította az eszközt, különben az új hitelesítő adatok is elfoghatók.
  • Kényszerítse ki a többtényezős hitelesítést. Ez korlátozza, hogy a lopott jelszavak önmagukban mit tehetnek, bár nem teljes megoldás, ha a támadó magát az átjárót irányítja.
  • Szeletelje a hálózatot. A VPN-felhasználók csak azokhoz a rendszerekhez férjenek hozzá, amelyekre szükségük van, így egy kompromittált fiók vagy eszköz nem mozoghat szabadon.
  • Figyeljen folyamatosan. Küldje az eszköz naplóit egy külön rendszerbe, amelyet az eszköz nem tud módosítani, és riasszon a rendellenességekre.
  • Tervezze meg az újratelepítést. Ha a kompromittálódás jeleit találja, kövesse a gyártó útmutatását az eszköz újratelepítéséről, ahelyett hogy feltételezné, hogy egy egyszerű tisztítás elegendő.

Mit jelent ez Önnek

Ha Ön rendszergazda, a tanulság az, hogy a javítási állapot nem azonos a biztonsággal. A peremeszközöknek megfigyelésre, korlátozott kitettségre és incidenskezelési tervre van szükségük, nem csak frissítésekre. Ha Ön VPN-felhasználó egy olyan szervezetnél, amely Connect Secure-t üzemeltet, Ön nem irányítja az eszközt, de megváltoztathatja a jelszavát, engedélyezheti a többtényezős hitelesítést, ahol felajánlják, és jelenthet bármi furcsát, például váratlan bejelentkezési kéréseket vagy biztonsági riasztásokat.

Következő lépések

Tekintse át még ma az Ivanti Connect Secure nulladik napi sebezhetőség kihasználásának való kitettségét: ellenőrizze, ki érheti el az eszközt, olvassa el a legfrissebb Ivanti útmutatást, és cserélje le a hitelesítő adatokat, ha a kompromittálódás bármilyen jele mutatkozik. A közzététel és a javítási idővonal alakulásának hátteréhez olvassa el korábbi jelentésünket arról, hogy az Ivanti júniusban megtalálta a hibát, de nem adott ki javítást. Ezen sebezhetőség-lánc részletei változhatnak, ahogy több információ kerül elő, ezért folyamatosan ellenőrizze a hivatalos forrásokat.