Mengapa Ivanti tidak segera merilis perbaikan setelah menemukan cacat tersebut?

Ivanti menilai masalah tersebut berdasarkan kriteria mereka untuk rilis di luar jadwal dan menyimpulkan bahwa temuan itu tidak memenuhi ambang batas tersebut.

Apa yang membuat kerentanan ini menjadi zero-day?

Kerentanan ini menjadi zero-day karena penyerang mengeksploitasi bug tersebut di alam liar sebelum patch tersedia.

Ivanti Connect Secure Zero-Day: Cacat Ditemukan pada Juni, Tidak Diperbaiki

Q: Kapan Ivanti pertama kali menemukan cacat Ivanti Connect Secure zero-day?

Ivanti menemukan sebagian dari cacat tersebut selama pemeriksaan keamanan internal pada Juni.

Q: Mengapa penyerang tertarik menargetkan Connect Secure?

Connect Secure adalah gateway VPN yang banyak digunakan yang berada di tepi jaringan, menghadap internet secara desain, dan dapat menawarkan jalan masuk tanpa menyentuh perangkat karyawan.

Q: Apakah eksploitasi ini telah diatribusikan kepada aktor ancaman tertentu?

Tidak, laporan tentang Ivanti tidak mengatribusikan eksploitasi ini kepada aktor tertentu.

Ivanti mengatakan mereka melihat sebagian dari cacat di balik Ivanti Connect Secure zero-day yang baru dieksploitasi beberapa bulan sebelum penyerang menggunakannya, tetapi memutuskan masalah tersebut tidak memenuhi standar untuk rilis di luar jadwal. Menurut laporan dari CyberScoop, perusahaan menemukan sebagian dari cacat tersebut selama pemeriksaan keamanan internal pada Juni. Pada saat perbaikan menjadi mendesak, penyerang sudah mengeksploitasi bug tersebut di alam liar.

Urutan itulah yang membuat kisah ini patut diperhatikan. Ini bukan sekadar tentang kerentanan yang mengejutkan, melainkan tentang keputusan yang tidak bertahan baik seiring waktu.

Apa yang Ivanti temukan pada Juni dan mengapa mereka menunggu

Penjelasan Ivanti, sebagaimana dirangkum oleh CyberScoop, sempit tetapi penting. Pemeriksaan internal perusahaan sendiri menemukan sebagian dari cacat tersebut pada Juni. Ivanti kemudian menilainya berdasarkan kriteria mereka untuk rilis di luar jadwal, yaitu patch yang dikirim di luar siklus pembaruan terjadwal normal, dan menyimpulkan bahwa temuan itu tidak memenuhi ambang batas tersebut.

Dalam praktiknya, vendor melakukan triase temuan berdasarkan tingkat keparahan, potensi eksploitasi, dan bukti penyalahgunaan. Bug yang tampaknya sulit dijangkau atau berdampak rendah jika berdiri sendiri sering kali menunggu pembaruan rutin berikutnya. Masalahnya adalah perusahaan mengatakan mereka hanya melihat sebagian dari cacat tersebut. Pandangan parsial terhadap suatu cacat dapat meremehkan seberapa berbahaya cacat itu begitu seseorang menemukan sisanya.

Sumber materi yang disediakan di sini tidak merinci sifat teknis lengkap dari bug tersebut, jadi penting untuk berhati-hati tentang apa yang diketahui dan tidak diketahui. Yang dilaporkan: tanggal penemuan, penilaian internal, dan keputusan untuk tidak terburu-buru memperbaiki.

Bagaimana cacat ini menjadi zero-day yang dieksploitasi

Suatu kerentanan menjadi zero-day ketika penyerang mengeksploitasinya sebelum patch tersedia. Itulah situasi yang dilaporkan untuk Connect Secure. Karena perbaikannya belum dikirim, para defender tidak memiliki solusi resmi ketika eksploitasi aktif dimulai.

Connect Secure adalah gateway VPN yang banyak digunakan, dan itu penting. Gateway seperti ini berada di tepi jaringan, menghadap internet secara desain, dan sering kali menempati posisi istimewa antara pengguna luar dan sistem internal. Kelemahan pada salah satunya menarik bagi penyerang karena satu perangkat yang terkompromi dapat menawarkan jalan masuk tanpa menyentuh laptop atau kotak masuk seorang karyawan.

Penting juga untuk mengingat siapa yang cenderung menyerang perangkat kelas ini. Liputan kami tentang bagaimana DOJ dan FBI menyita alat Flax Typhoon Microscan dan FishHub menunjukkan bahwa kelompok yang terkait dengan negara menginvestasikan banyak sumber daya pada perkakas yang menyasar infrastruktur yang menghadap internet. Laporan tentang Ivanti tidak mengatribusikan eksploitasi ini kepada aktor tertentu, jadi perlakukan itu sebagai konteks, bukan kesimpulan.

Apa yang harus diperiksa admin Connect Secure sekarang

Jika organisasi Anda menjalankan Connect Secure, langkah-langkah ini adalah titik awal yang masuk akal:

Konfirmasi versi Anda. Periksa build perangkat lunak yang tepat pada setiap gateway, termasuk unit uji dan failover yang mudah terlupakan.
Baca advisory Ivanti terkini. Cari patch atau mitigasi sementara yang terkait dengan cacat ini, dan terapkan segera setelah proses perubahan Anda memungkinkan.
Gunakan alat integritas bawaan apa pun. Jika Ivanti menyediakan pemeriksa integritas untuk perangkat tersebut, jalankan, dan simpan outputnya untuk perbandingan nanti.
Tinjau log untuk aktivitas tidak biasa. Cari sesi administratif yang tidak terduga, akun baru, koneksi keluar yang aneh, atau perubahan konfigurasi yang tidak Anda lakukan.
Rotasi kredensial di mana kompromi mungkin terjadi. Reset kata sandi dan rahasia yang disimpan pada atau digunakan oleh gateway jika Anda menemukan tanda-tanda penyalahgunaan. Paparan kredensial adalah masalah terpisah yang umum; temuan SpyCloud tentang utilitas air yang terpapar malware infostealer adalah pengingat tentang bagaimana login yang dicuri dapat memperbesar risiko perangkat tepi.
Batasi paparan. Batasi antarmuka manajemen agar tidak dapat dijangkau dari internet terbuka.

Jika Anda tidak dapat menambal segera, ikuti panduan mitigasi apa pun yang telah diterbitkan vendor dan pantau perangkat lebih dekat sampai Anda bisa.

Apa arti kebijakan patch vendor bagi kepercayaan VPN

Penemuan pada Juni menimbulkan pertanyaan yang wajar tentang bagaimana vendor menetapkan ambang batas untuk perbaikan mendesak. Patch di luar jadwal mengganggu pelanggan, jadi vendor tidak ingin menerbitkannya untuk setiap temuan. Tetapi biaya menunggu tidak seimbang ketika produknya adalah gateway keamanan yang berada di perimeter.

Kedua sisi trade-off itu tidak tidak masuk akal secara kasat mata. Pelajarannya adalah bahwa penilaian tingkat keparahan internal vendor tidak sama dengan risiko dunia nyata. Penyerang tidak peduli apakah suatu cacat diklasifikasikan di bawah ambang rilis; mereka peduli apakah cacat itu berhasil.

Bagi pelanggan, ini menjadi alasan untuk mengajukan pertanyaan langsung kepada vendor: Bagaimana Anda memutuskan apa yang memerlukan perbaikan di luar jadwal? Seberapa cepat Anda memberi tahu pelanggan tentang masalah yang ditemukan secara internal? Apa yang terjadi ketika bug yang dipahami sebagian kemudian ditemukan dapat dieksploitasi? Jawaban atas pertanyaan-pertanyaan itu lebih menunjukkan kepercayaan daripada halaman pemasaran.

Apa Artinya Ini Bagi Anda

Jika Anda adalah individu yang menggunakan VPN dari atasan atau sekolah yang mengandalkan Connect Secure, Anda tidak dapat menambal gateway itu sendiri, tetapi Anda dapat bertindak. Tanyakan kepada tim TI Anda apakah perangkat tersebut telah diperbarui, dan gunakan kata sandi yang kuat dan unik serta autentikasi multi-faktor pada akun apa pun yang berhubungan dengannya. Jika Anda diminta mengganti kata sandi, lakukan segera.

Jika Anda menjalankan gateway tersebut, perlakukan ini sebagai dorongan untuk meninjau seluruh inventaris tepi Anda, bukan hanya satu produk. Perangkat apa pun yang menghadap internet layak mendapat perhatian yang sama terhadap versi, paparan, dan pencatatan log.

Poin-poin utama

Ivanti Connect Secure zero-day adalah pengingat bahwa jendela antara penemuan dan perbaikan sama pentingnya dengan cacat itu sendiri. Ivanti mengatakan mereka menemukan sebagian dari cacat tersebut pada Juni dan menilainya di bawah ambang rilis di luar jadwal; penyerang kemudian mencapainya lebih dulu.

Jika Anda menjalankan atau bergantung pada gateway Ivanti, verifikasi versi Anda hari ini, terapkan patch dan mitigasi terbaru, dan terus periksa advisory keamanan Ivanti seiring perkembangan situasi. Untuk konteks yang lebih luas tentang siapa yang menargetkan perangkat tepi dan mengapa, baca laporan kami tentang penyitaan alat Flax Typhoon.