Ivanti afferma di aver individuato parte del difetto alla base di un zero-day di Ivanti Connect Secure recentemente sfruttato, mesi prima che gli attaccanti lo usassero, ma ha deciso che il problema non soddisfaceva i criteri per un rilascio fuori programma. Secondo quanto riportato da CyberScoop, l'azienda ha trovato una porzione della falla durante i controlli di sicurezza interni a giugno. Nel momento in cui una correzione è diventata urgente, gli attaccanti stavano già sfruttando il bug in the wild.

Questa sequenza è ciò che rende questa storia degna di nota. Si tratta meno di una vulnerabilità a sorpresa e più di una decisione che non è invecchiata bene.

Cosa ha trovato Ivanti a giugno e perché ha aspettato

La spiegazione di Ivanti, come riassunta da CyberScoop, è circoscritta ma importante. I controlli interni dell'azienda hanno individuato parte del difetto a giugno. Ivanti ha poi valutato il problema rispetto ai propri criteri per un rilascio fuori programma, ovvero una patch distribuita al di fuori del normale ciclo di aggiornamento programmato, e ha concluso che non raggiungeva quella soglia.

In pratica, i fornitori classificano i risultati in base a gravità, sfruttabilità e prove di abuso. Un bug che di per sé sembra difficile da raggiungere o di basso impatto spesso attende il successivo aggiornamento regolare. Il problema è che l'azienda afferma di aver visto solo una porzione del difetto. Una visione parziale di una falla può sottostimare quanto sia pericolosa una volta che qualcuno ne trova il resto.

Il materiale di partenza fornito qui non dettaglia la natura tecnica completa del bug, quindi è opportuno essere cauti su ciò che si sa e ciò che non si sa. Ciò che è riportato: la data della scoperta, la valutazione interna e la decisione di non affrettare una correzione.

Come la falla è diventata uno zero-day sfruttato

Una vulnerabilità diventa uno zero-day quando gli attaccanti la sfruttano prima che esista una patch. Questa è la situazione riportata per Connect Secure. Poiché la correzione non era stata distribuita, i difensori non avevano alcun rimedio ufficiale quando è iniziato lo sfruttamento attivo.

Connect Secure è un gateway VPN ampiamente diffuso, e questo conta. Gateway come questo si trovano al margine di una rete, sono esposti a internet per progettazione e spesso occupano una posizione privilegiata tra gli utenti esterni e i sistemi interni. Una debolezza in uno di essi è attraente per gli attaccanti perché un singolo dispositivo compromesso può offrire un modo per entrare senza toccare il laptop o la casella di posta di un dipendente.

Aiuta anche ricordare chi tende a prendere di mira questa classe di dispositivi. La nostra copertura di come il DOJ e l'FBI hanno sequestrato gli strumenti Microscan e FishHub di Flax Typhoon mostra che i gruppi legati a stati investono pesantemente in strumenti mirati alle infrastrutture esposte a internet. Il reportage su Ivanti non attribuisce questo sfruttamento a un attore particolare, quindi trattatelo come contesto e non come conclusione.

Cosa dovrebbero verificare ora gli amministratori di Connect Secure

Se la vostra organizzazione utilizza Connect Secure, questi passaggi sono un punto di partenza ragionevole:

  • Confermate la vostra versione. Verificate la build esatta del software su ogni gateway, incluse le unità di test e di failover che è facile dimenticare.
  • Leggete l'avviso attuale di Ivanti. Cercate la patch o la mitigazione temporanea legata a questa falla e applicatela non appena il vostro processo di cambiamento lo consente.
  • Usate gli strumenti di integrità integrati. Se Ivanti fornisce un verificatore di integrità per l'appliance, eseguitelo e conservate il suo output per un confronto successivo.
  • Esaminate i log alla ricerca di attività insolite. Cercate sessioni amministrative inaspettate, nuovi account, connessioni in uscita anomale o modifiche alla configurazione che non avete effettuato.
  • Ruotate le credenziali dove è possibile una compromissione. Reimpostate password e segreti memorizzati sul gateway o utilizzati da esso se trovate segni di abuso. L'esposizione delle credenziali è un problema separato e comune; i risultati di SpyCloud sulle utility idriche esposte a malware infostealer sono un promemoria di come i login rubati possano aggravare il rischio dei dispositivi perimetrali.
  • Limitate l'esposizione. Restringete le interfacce di gestione in modo che non siano raggiungibili da internet aperto.

Se non potete applicare la patch immediatamente, seguite qualunque indicazione di mitigazione abbia pubblicato il fornitore e monitorate il dispositivo più attentamente finché non potete farlo.

Cosa significano le politiche di patch dei fornitori per la fiducia nelle VPN

La scoperta di giugno solleva una domanda legittima su come i fornitori stabiliscano la soglia per le correzioni urgenti. Le patch fuori programma sono dirompenti per i clienti, quindi i fornitori non vogliono emetterle per ogni risultato. Ma il costo dell'attesa è sbilanciato quando il prodotto è un gateway di sicurezza che si trova sul perimetro.

Nessuno dei due lati di questo compromesso è irragionevole di per sé. La lezione è che la valutazione di gravità interna di un fornitore non è la stessa cosa del rischio nel mondo reale. Agli attaccanti non importa se una falla è stata classificata al di sotto di una soglia di rilascio; a loro importa se funziona.

Per i clienti, questo è un argomento a favore del porre domande dirette ai fornitori: Come decidete cosa giustifica una correzione fuori programma? Con quanta rapidità informate i clienti dei problemi trovati internamente? Cosa succede quando un bug compreso solo parzialmente viene poi scoperto essere sfruttabile? Le risposte a queste domande dicono più sulla fiducia di quanto faccia una pagina di marketing.

Cosa significa per voi

Se siete un individuo che utilizza una VPN di un datore di lavoro o di una scuola che si affida a Connect Secure, non potete applicare la patch al gateway da soli, ma potete agire. Chiedete al vostro team IT se l'appliance è stata aggiornata e usate password forti e uniche e l'autenticazione a più fattori su qualsiasi account che vi si interfacci. Se vi viene detto di cambiare una password, fatelo prontamente.

Se gestite il gateway, trattate questo come uno stimolo a rivedere l'intero inventario perimetrale, non solo un prodotto. Qualsiasi dispositivo esposto a internet merita la stessa attenzione a versione, esposizione e logging.

Punti chiave

Lo zero-day di Ivanti Connect Secure è un promemoria del fatto che la finestra tra scoperta e correzione conta tanto quanto la falla stessa. Ivanti afferma di aver trovato parte del difetto a giugno e di averlo giudicato al di sotto della soglia per il rilascio fuori programma; gli attaccanti poi lo hanno raggiunto per primi.

Se gestite o dipendete dai gateway Ivanti, verificate oggi la vostra versione, applicate le ultime patch e mitigazioni e continuate a controllare gli avvisi di sicurezza di Ivanti mentre la situazione evolve. Per un contesto più ampio su chi prende di mira i dispositivi perimetrali e perché, leggete il nostro report sui sequestri degli strumenti di Flax Typhoon.