Una catena di exploit zero-day che prende di mira gli appliance VPN Ivanti Connect Secure è stata osservata in the wild, secondo un report della società di sicurezza Rescana. L'impatto riportato è grave: attaccanti non autenticati possono raggiungere l'esecuzione di codice in remoto a livello root e rubare credenziali, anche su appliance completamente aggiornati. Questo exploit zero-day di Ivanti Connect Secure è un promemoria del fatto che un gateway VPN situato al confine di una rete è uno degli obiettivi più preziosi che un attaccante possa scegliere.

Il report originale è disponibile solo in parte per noi, quindi questo articolo si attiene a ciò che è confermato ed evita di speculare sui dettagli tecnici. Dove offriamo indicazioni, si tratta di buone pratiche di sicurezza generali e non di istruzioni fornite dal vendor.

Perché un appliance VPN completamente aggiornato è stato comunque compromesso

La parola "zero-day" spiega gran parte della questione. Uno zero-day è una vulnerabilità che gli attaccanti sfruttano prima che esista una correzione, quindi installare ogni aggiornamento disponibile non protegge da essa. Un appliance completamente aggiornato è protetto solo contro i problemi già noti e corretti.

Il report descrive una catena di exploit, ovvero diverse debolezze collegate tra loro. Le catene sono comuni negli attacchi gravi perché raramente un singolo bug da solo garantisce il controllo completo. Combinate insieme, una serie di difetti minori può portare un attaccante dall'assenza totale di accesso al controllo completo del dispositivo, senza alcun login richiesto.

Per contestualizzare le tempistiche, vpn.social ha già trattato la precedente conoscenza da parte di Ivanti di una parte della vulnerabilità. In quella copertura, Ivanti ha dichiarato di aver individuato parte del difetto mesi prima che gli attaccanti lo usassero, ma ha ritenuto che non soddisfacesse i criteri per un rilascio out-of-band. Questa storia è importante perché mostra quanto può essere lungo l'intervallo tra il momento in cui un vendor nota un problema e quello in cui i clienti ricevono una correzione.

Cosa significano l'accesso root e il furto di credenziali per gli utenti

Root è il livello di privilegio più alto su un sistema basato su Linux. Un attaccante con root su un appliance VPN non è limitato a ciò che potrebbe fare un utente normale. Può potenzialmente leggere o modificare qualsiasi cosa il dispositivo gestisca, alterarne la configurazione ed eseguire codice proprio.

Il furto di credenziali è la parte che colpisce maggiormente gli utenti comuni. Un appliance VPN elabora i login di dipendenti, collaboratori e partner. Se un attaccante riesce a catturare tali credenziali, il danno può propagarsi ben oltre l'appliance:

  • Nomi utente e password rubati possono essere riutilizzati per raggiungere sistemi interni, email e servizi cloud.
  • Gli account compromessi possono sembrare legittimi lavoratori da remoto, il che rende più difficile individuare attività malevole.
  • Gli attaccanti possono mantenere l'accesso tramite credenziali rubate anche dopo che l'appliance stessa è stata ripulita.

Se ti connetti al tuo posto di lavoro tramite Connect Secure, il rischio pratico è che i tuoi dati di accesso possano essere esposti senza che tu abbia fatto nulla di sbagliato.

Come verificare se il tuo appliance Connect Secure è esposto

Se gestisci Ivanti Connect Secure, considera che sia un possibile bersaglio finché non hai prove del contrario. Alcuni controlli sensati:

  1. Conferma la tua esposizione. Scopri se l'appliance è raggiungibile da Internet e chi può accedere alla sua interfaccia di gestione. Tutto ciò che non deve essere pubblico non dovrebbe esserlo.
  2. Monitora gli advisory di Ivanti. Il vendor è la fonte autorevole per correzioni ufficiali, mitigazioni e indicazioni sul rilevamento, e tali dettagli possono cambiare man mano che l'indagine prosegue.
  3. Usa gli strumenti di integrità del vendor. Se Ivanti fornisce un verificatore di integrità o uno strumento simile per il tuo prodotto, eseguilo. Tratta un risultato pulito con una certa cautela, poiché un attaccante a livello root potrebbe manomettere ciò che il dispositivo riporta su se stesso.
  4. Esamina i log. Cerca login insoliti, modifiche amministrative inattese, connessioni in uscita anomale e attività di autenticazione in orari strani o da località sconosciute.
  5. Chiedi al tuo team di sicurezza o al tuo provider. Se non sei tu l'amministratore, chiedi direttamente se l'appliance è stata controllata.

Misure di mitigazione: ruotare le credenziali, monitorare e stratificare le difese

Poiché una patch non può risolvere completamente un problema zero-day, la difesa deve essere stratificata.

  • Ruota le credenziali. Se la compromissione è possibile, cambia le password per gli utenti VPN, gli account di servizio e qualsiasi segreto memorizzato sull'appliance o che vi transita. Fallo dopo aver messo in sicurezza il dispositivo, altrimenti anche le nuove credenziali potrebbero essere catturate.
  • Applica l'autenticazione a più fattori. Limita ciò che le sole password rubate possono fare, anche se non è una risposta completa se un attaccante controlla il gateway stesso.
  • Segmenta la rete. Gli utenti VPN dovrebbero raggiungere solo i sistemi di cui hanno bisogno, così un account o un dispositivo compromesso non può muoversi liberamente.
  • Monitora in modo continuo. Invia i log dell'appliance a un sistema separato che l'appliance non può alterare e attiva avvisi sulle anomalie.
  • Pianifica la ricostruzione. Se trovi segni di compromissione, segui le indicazioni del vendor sulla ricostruzione del dispositivo invece di presumere che una semplice pulizia sia sufficiente.

Cosa significa per te

Se sei un amministratore, la lezione è che lo stato di aggiornamento non equivale alla sicurezza. I dispositivi perimetrali necessitano di monitoraggio, esposizione limitata e un piano di incident response, non solo aggiornamenti. Se sei un utente VPN in un'organizzazione che utilizza Connect Secure, non controlli l'appliance, ma puoi cambiare la tua password, abilitare l'autenticazione a più fattori dove offerta e segnalare qualsiasi cosa strana, come richieste di login inattese o avvisi di sicurezza.

Prossimi passi

Esamina oggi la tua esposizione all'exploit zero-day di Ivanti Connect Secure: controlla chi può raggiungere l'appliance, leggi le ultime indicazioni di Ivanti e ruota le credenziali se c'è qualsiasi segno di compromissione. Per il contesto su come si sono svolte la divulgazione e la cronologia delle patch, leggi il nostro report precedente su Ivanti che ha individuato la vulnerabilità a giugno senza rilasciare una correzione. I dettagli di questa catena di exploit possono cambiare man mano che emergono nuove informazioni, quindi continua a controllare le fonti ufficiali.