Az Ivanti szerint a frissen kihasznált Ivanti Connect Secure nulladik napi sebezhetőség mögötti hiba egy részét már hónapokkal azelőtt észlelte, hogy a támadók kihasználták volna, de úgy döntött, hogy a probléma nem éri el a rendkívüli kiadás küszöbét. A CyberScoop beszámolója szerint a vállalat a hiba egy részét a júniusi belső biztonsági ellenőrzések során fedezte fel. Mire a javítás sürgőssé vált, a támadók már aktívan kihasználták a hibát a valós környezetben.

Ez a sorrend teszi figyelemre méltóvá ezt a történetet. Ez kevésbé egy váratlan sebezhetőségről szól, sokkal inkább egy ítéletről, amely nem öregedett jól.

Mit talált az Ivanti júniusban, és miért várt

Az Ivanti magyarázata, ahogyan azt a CyberScoop összefoglalta, szűk, de fontos. A vállalat saját belső ellenőrzései júniusban feltárták a hiba egy részét. Az Ivanti ezután összevetette azt a rendkívüli kiadásra vonatkozó kritériumaival – vagyis a szokásos ütemezett frissítési cikluson kívül kiadott javítással –, és arra a következtetésre jutott, hogy nem éri el ezt a küszöböt.

A gyakorlatban a szállítók a súlyosság, a kihasználhatóság és a visszaélés bizonyítékai alapján rangsorolják a megállapításokat. Egy önmagában nehezen elérhetőnek vagy alacsony hatásúnak tűnő hiba gyakran a következő rendszeres frissítésre vár. A bökkenő az, hogy a vállalat szerint csak a hiba egy részét látták. Egy hiba részleges ismerete alábecsülheti annak veszélyességét, amint valaki megtalálja a többit.

Az itt rendelkezésre álló forrásanyag nem részletezi a hiba teljes technikai természetét, ezért érdemes óvatosnak lenni abban, hogy mi ismert és mi nem. Ami jelentve van: a felfedezés dátuma, a belső értékelés és a döntés, hogy nem siettetik a javítást.

Hogyan vált a hiba kihasznált nulladik napi sebezhetőséggé

Egy sebezhetőség akkor válik nulladik napi sebezhetőséggé, amikor a támadók a javítás létezése előtt kihasználják azt. Ez az a helyzet, amelyet a Connect Secure esetében jelentettek. Mivel a javítás nem jelent meg, a védekezőknek nem volt hivatalos megoldásuk, amikor az aktív kihasználás megkezdődött.

A Connect Secure egy széles körben telepített VPN-átjáró, és ez számít. Az ilyen átjárók egy hálózat peremén helyezkednek el, tervezésüknél fogva az internet felé néznek, és gyakran kiváltságos pozíciót töltenek be a külső felhasználók és a belső rendszerek között. Egy gyengeség közülük vonzó a támadók számára, mert egyetlen kompromittált eszköz utat kínálhat befelé anélkül, hogy hozzá kellene nyúlniuk egy alkalmazott laptopjához vagy postaládájához.

Azt is érdemes szem előtt tartani, hogy ki szokta megcélozni ezt az eszközosztályt. A DOJ és az FBI által lefoglalt Flax Typhoon eszközökről, a Microscanról és a FishHubról szóló tudósításunkból kiderül, hogy az államilag kapcsolt csoportok jelentős erőforrásokat fektetnek az internetre néző infrastruktúrára irányuló eszközökbe. Az Ivantiról szóló beszámoló nem tulajdonítja ezt a kihasználást egyetlen konkrét szereplőnek sem, ezért ezt kontextusként, nem pedig következtetésként kezelje.

Mit kell most ellenőrizniük a Connect Secure rendszergazdáknak

Ha szervezete Connect Secure-t üzemeltet, ezek a lépések ésszerű kiindulópontot jelentenek:

  • Erősítse meg a verziót. Ellenőrizze a pontos szoftverbuildet minden átjárón, beleértve a teszt- és feladatátvételi egységeket is, amelyeket könnyű elfelejteni.
  • Olvassa el az aktuális Ivanti tanácsadást. Keresse a hibához kapcsolódó javítást vagy ideiglenes enyhítést, és alkalmazza, amint a változáskezelési folyamata engedi.
  • Használjon beépített integritásellenőrző eszközöket. Ha az Ivanti biztosít integritásellenőrzőt a készülékhez, futtassa le, és őrizze meg annak kimenetét későbbi összehasonlítás céljából.
  • Vizsgálja át a naplókat szokatlan tevékenység után kutatva. Keressen váratlan rendszergazdai munkameneteket, új fiókokat, furcsa kimenő kapcsolatokat vagy olyan konfigurációs változásokat, amelyeket nem Ön hajtott végre.
  • Forgassa a hitelesítő adatokat, ahol lehetséges a kompromittálódás. Állítsa vissza az átjárón tárolt vagy általa használt jelszavakat és titkos kulcsokat, ha visszaélés jeleit észleli. A hitelesítő adatok kiszivárgása külön, gyakori probléma; a SpyCloud vízművekről szóló megállapításai, amelyek infostealer malware-nek voltak kitéve emlékeztetnek arra, hogy az ellopott bejelentkezések hogyan súlyosbíthatják a peremeszközök kockázatát.
  • Korlátozza a kitettséget. Szűkítse a felügyeleti felületeket, hogy ne legyenek elérhetők a nyílt internetről.

Ha nem tud azonnal javítani, kövesse a szállító által közzétett enyhítési útmutatást, és figyelje szorosabban az eszközt, amíg nem tudja.

Mit jelentenek a szállítói javítási szabályzatok a VPN-be vetett bizalom szempontjából

A júniusi felfedezés jogos kérdést vet fel azzal kapcsolatban, hogyan határozzák meg a szállítók a sürgős javítások küszöbét. A rendkívüli javítások zavaróak az ügyfelek számára, ezért a szállítók nem szeretnék minden megállapítás esetében kiadni azokat. De a várakozás költsége aránytalan, ha a termék egy biztonsági átjáró, amely a peremen helyezkedik el.

Ennek a kompromisszumnak egyik oldala sem ésszerűtlen önmagában. A tanulság az, hogy a szállító belső súlyossági besorolása nem azonos a valós kockázattal. A támadókat nem érdekli, hogy egy hibát a kiadási küszöb alattira soroltak-e be; őket az érdekli, hogy működik-e.

Az ügyfelek számára ez amellett szól, hogy közvetlen kérdéseket tegyenek fel a szállítóknak: Hogyan döntik el, mi indokol rendkívüli javítást? Milyen gyorsan értesítik az ügyfeleket a belsőleg feltárt problémákról? Mi történik, amikor egy részben megértett hibáról később kiderül, hogy kihasználható? E kérdésekre adott válaszok többet mondanak a bizalomról, mint egy marketingoldal.

Mit jelent ez Önnek

Ha Ön olyan egyéni felhasználó, aki munkaadója vagy iskolája által biztosított VPN-t használ, amely a Connect Secure-re támaszkodik, nem tudja saját maga javítani az átjárót, de tehet valamit. Kérdezze meg IT-csapatát, hogy frissítették-e a készüléket, és használjon erős, egyedi jelszavakat és többtényezős hitelesítést minden olyan fiókon, amely kapcsolatba kerül vele. Ha azt kérik, változtasson jelszót, tegye meg haladéktalanul.

Ha Ön üzemelteti az átjárót, tekintse ezt arra ösztönzésként, hogy vizsgálja felül a teljes pereminventárját, ne csak egy terméket. Minden internetre néző eszköz ugyanolyan figyelmet érdemel a verzió, a kitettség és a naplózás tekintetében.

Kulcsfontosságú tanulságok

Az Ivanti Connect Secure nulladik napi sebezhetőség emlékeztető arra, hogy a felfedezés és a javítás közötti ablak ugyanolyan fontos, mint maga a hiba. Az Ivanti szerint a hiba egy részét júniusban találta meg, és a rendkívüli küszöb alattinak ítélte; a támadók aztán elsőként érték el.

Ha Ivanti átjárókat üzemeltet vagy azoktól függ, ma ellenőrizze a verziót, alkalmazza a legfrissebb javításokat és enyhítéseket, és folyamatosan kísérje figyelemmel az Ivanti biztonsági tanácsadásait, ahogy a helyzet alakul. A peremeszközöket célzókról és annak okairól szóló szélesebb kontextusért olvassa el a Flax Typhoon eszközlefoglalásokról szóló jelentésünket.