Bisakah perangkat Ivanti Connect Secure yang telah ditambal sepenuhnya masih tetap dikompromikan?

Ya. Cacat zero-day dieksploitasi sebelum perbaikan tersedia, jadi memasang setiap pembaruan yang tersedia tidak melindungi terhadapnya, dan laporan tersebut mencatat bahwa penyerang berhasil mencapai eksekusi kode jarak jauh tingkat root dan pencurian kredensial bahkan pada perangkat yang telah ditambal sepenuhnya.

Apa itu rantai eksploitasi?

Ini adalah serangkaian kelemahan yang saling terkait, digunakan karena satu bug saja jarang memberikan kendali penuh dengan sendirinya; jika digabungkan, cacat yang lebih kecil dapat membawa penyerang dari tanpa akses menjadi kendali penuh atas perangkat tanpa memerlukan login.

Apa yang didapat penyerang dari akses root pada perangkat VPN?

Root adalah tingkat hak istimewa tertinggi pada sistem berbasis Linux, sehingga penyerang berpotensi membaca atau mengubah apa pun yang ditangani perangkat, mengubah konfigurasinya, dan menjalankan kode mereka sendiri.

Eksploitasi Zero-Day Ivanti Connect Secure Menghantam VPN yang Sudah Ditambal

Q: Apakah pengetahuan Ivanti sebelumnya tentang sebagian cacat memengaruhi berapa lama pelanggan menunggu perbaikan?

Menurut liputan sebelumnya dari vpn.social, Ivanti mengatakan pihaknya mengetahui sebagian dari cacat tersebut berbulan-bulan sebelum penyerang menggunakannya tetapi menilai bahwa hal itu tidak memenuhi standar untuk rilis di luar jadwal, yang menunjukkan betapa panjangnya jeda antara vendor menyadari masalah dan pelanggan mendapatkan perbaikan.

Rantai eksploitasi zero-day yang menargetkan perangkat VPN Ivanti Connect Secure telah teramati di alam liar, menurut laporan dari firma keamanan Rescana. Dampak yang dilaporkan serius: penyerang tanpa autentikasi dapat mencapai eksekusi kode jarak jauh tingkat root dan mencuri kredensial, bahkan pada perangkat yang sudah ditambal sepenuhnya. Eksploitasi zero-day Ivanti Connect Secure ini menjadi pengingat bahwa gateway VPN yang berada di tepi jaringan adalah salah satu target paling berharga yang dapat dipilih penyerang.

Laporan sumber hanya tersedia sebagian bagi kami, sehingga artikel ini berpegang pada apa yang telah dikonfirmasi dan menghindari spekulasi tentang detail teknis. Di mana kami memberikan panduan, itu adalah praktik keamanan umum dan bukan instruksi yang dikeluarkan vendor.

Mengapa perangkat VPN yang sudah ditambal sepenuhnya masih bisa dikompromikan

Kata "zero-day" menjelaskan sebagian besar hal ini. Zero-day adalah celah yang dieksploitasi penyerang sebelum perbaikan tersedia, sehingga memasang setiap pembaruan yang tersedia tidak melindungi terhadapnya. Perangkat yang sudah ditambal sepenuhnya hanya terlindungi terhadap masalah yang sudah diketahui dan diperbaiki.

Laporan tersebut menggambarkan rantai eksploitasi, yang berarti beberapa kelemahan yang saling terhubung. Rantai umum terjadi dalam serangan serius karena satu bug jarang memberikan kendali penuh dengan sendirinya. Jika digabungkan, serangkaian kelemahan yang lebih kecil dapat membawa penyerang dari tanpa akses sama sekali hingga kendali penuh atas perangkat, tanpa memerlukan login.

Untuk konteks mengenai waktu, vpn.social telah membahas pengetahuan Ivanti sebelumnya tentang sebagian celah tersebut. Dalam liputan tersebut, Ivanti mengatakan pihaknya menemukan sebagian cacat tersebut berbulan-bulan sebelum penyerang menggunakannya, tetapi menilai bahwa hal itu tidak memenuhi standar untuk rilis di luar jadwal. Sejarah itu penting karena menunjukkan seberapa panjang jeda antara vendor menyadari masalah dan pelanggan mendapatkan perbaikan.

Apa arti akses root dan pencurian kredensial bagi pengguna

Root adalah tingkat hak istimewa tertinggi pada sistem berbasis Linux. Penyerang dengan akses root pada perangkat VPN tidak terbatas pada apa yang bisa dilakukan pengguna biasa. Mereka berpotensi membaca atau mengubah apa pun yang ditangani perangkat, mengubah konfigurasinya, dan menjalankan kode mereka sendiri.

Pencurian kredensial adalah bagian yang paling berdampak pada pengguna biasa. Perangkat VPN memproses login untuk karyawan, kontraktor, dan mitra. Jika penyerang dapat menangkap kredensial tersebut, kerusakan dapat menyebar jauh melampaui perangkat:

Nama pengguna dan kata sandi yang dicuri dapat digunakan kembali untuk mengakses sistem internal, email, dan layanan cloud.
Akun yang dikompromikan dapat tampak seperti pekerja jarak jauh yang sah, sehingga aktivitas berbahaya lebih sulit dikenali.
Penyerang dapat mempertahankan akses melalui kredensial yang dicuri bahkan setelah perangkat itu sendiri dibersihkan.

Jika Anda terhubung ke tempat kerja melalui Connect Secure, risiko praktisnya adalah detail login Anda bisa terekspos tanpa Anda melakukan kesalahan apa pun.

Cara memeriksa apakah perangkat Connect Secure Anda terekspos

Jika Anda menjalankan Ivanti Connect Secure, anggap perangkat itu sebagai target yang mungkin sampai Anda memiliki bukti sebaliknya. Beberapa pemeriksaan yang masuk akal:

Konfirmasi paparan Anda. Cari tahu apakah perangkat dapat dijangkau dari internet dan siapa yang dapat mengakses antarmuka manajemennya. Apa pun yang tidak perlu bersifat publik seharusnya tidak dipublikasikan.
Pantau advis Ivanti. Vendor adalah sumber otoritatif untuk perbaikan resmi, mitigasi, dan panduan deteksi, dan detail tersebut dapat berubah seiring berlanjutnya investigasi.
Gunakan alat integritas vendor. Jika Ivanti menyediakan pemeriksa integritas atau alat serupa untuk produk Anda, jalankanlah. Perlakukan hasil yang bersih dengan hati-hati, karena penyerang tingkat root mungkin memanipulasi apa yang dilaporkan perangkat tentang dirinya sendiri.
Tinjau log. Cari login yang tidak biasa, perubahan administratif yang tidak terduga, koneksi keluar yang aneh, dan aktivitas autentikasi pada jam-jam yang tidak wajar atau dari lokasi yang tidak dikenal.
Tanyakan kepada tim keamanan atau penyedia Anda. Jika Anda bukan administrator, tanyakan langsung kepada mereka apakah perangkat telah diperiksa.

Langkah mitigasi: rotasi kredensial, pemantauan, dan pertahanan berlapis

Karena tambalan tidak dapat sepenuhnya menyelesaikan masalah zero-day, pertahanan harus berlapis.

Rotasi kredensial. Jika kompromi mungkin terjadi, ubah kata sandi untuk pengguna VPN, akun layanan, dan rahasia apa pun yang disimpan pada atau melewati perangkat. Lakukan ini setelah Anda mengamankan perangkat, atau kredensial baru juga dapat tertangkap.
Terapkan autentikasi multi-faktor. Ini membatasi apa yang dapat dilakukan kata sandi yang dicuri saja, meskipun bukan jawaban lengkap jika penyerang mengendalikan gateway itu sendiri.
Segmentasikan jaringan. Pengguna VPN seharusnya hanya dapat menjangkau sistem yang mereka butuhkan, sehingga akun atau perangkat yang dikompromikan tidak dapat bergerak bebas.
Pantau secara berkelanjutan. Kirim log perangkat ke sistem terpisah yang tidak dapat diubah oleh perangkat, dan beri peringatan atas anomali.
Rencanakan pembangunan ulang. Jika Anda menemukan tanda-tanda kompromi, ikuti panduan vendor tentang membangun ulang perangkat alih-alih menganggap pembersihan sederhana sudah cukup.

Apa Artinya Ini Bagi Anda

Jika Anda seorang administrator, pelajarannya adalah status tambalan tidak sama dengan keamanan. Perangkat tepi memerlukan pemantauan, paparan yang dibatasi, dan rencana insiden, bukan hanya pembaruan. Jika Anda pengguna VPN di organisasi yang menjalankan Connect Secure, Anda tidak mengendalikan perangkat tersebut, tetapi Anda dapat mengubah kata sandi, mengaktifkan autentikasi multi-faktor jika ditawarkan, dan melaporkan apa pun yang aneh, seperti permintaan login yang tidak terduga atau peringatan keamanan.

Langkah selanjutnya

Tinjau paparan eksploitasi zero-day Ivanti Connect Secure Anda hari ini: periksa siapa yang dapat menjangkau perangkat, baca panduan Ivanti terbaru, dan rotasi kredensial jika ada tanda-tanda kompromi. Untuk latar belakang tentang bagaimana pengungkapan dan garis waktu penambalan berlangsung, baca laporan kami sebelumnya tentang Ivanti menemukan celah pada Juni tanpa mengeluarkan perbaikan. Detail rantai eksploitasi ini dapat berubah seiring munculnya lebih banyak informasi, jadi terus periksa sumber resmi.