Ivantiは、新たに悪用されたIvanti Connect Secureゼロデイの背後にある欠陥の一部を、攻撃者が利用する数か月前に発見していたものの、その問題は帯域外リリースの基準を満たさないと判断したと述べています。CyberScoopの報道によると、同社は6月の内部セキュリティチェック中に欠陥の一部を発見しました。修正が急務となった時点で、攻撃者はすでにこのバグを実環境で悪用していました。

この経緯こそが、この話を注目に値するものにしています。これは驚くべき脆弱性の話というよりも、後から振り返るとまずかった判断の話です。

Ivantiが6月に発見したものと、なぜ待ったのか

CyberScoopが要約したIvantiの説明は、範囲は狭いものの重要です。同社の独自の内部チェックにより、6月に欠陥の一部が明らかになりました。Ivantiはその後、通常の定期アップデートサイクル外で出荷されるパッチ、すなわち帯域外リリースの基準に照らして評価し、その基準に達しないと結論付けました。

実際には、ベンダーは重大度、悪用可能性、悪用の証拠によって検出結果をトリアージします。単独では到達が難しそうに見えたり、影響が小さかったりするバグは、多くの場合、次の定期アップデートまで待たされます。問題は、同社が見たのは欠陥の一部に過ぎないと述べている点です。欠陥の部分的な把握は、誰かが残りを発見した後の危険性を過小評価する可能性があります。

ここで提供されている資料は、このバグの完全な技術的性質を詳述していないため、何が知られていて何が知られていないかについては注意が必要です。報道されているのは、発見日、内部評価、そして修正を急がないという決定です。

どのようにしてこの欠陥は悪用されるゼロデイとなったのか

脆弱性は、パッチが存在する前に攻撃者が悪用するとゼロデイとなります。これがConnect Secureについて報告されている状況です。修正が出荷されていなかったため、活発な悪用が始まった時点で防御側には公式な対処法がありませんでした。

Connect Secureは広く展開されているVPNゲートウェイであり、この点は重要です。このようなゲートウェイはネットワークの境界に位置し、設計上インターネットに面しており、外部ユーザーと内部システムの間で特権的な立場を占めることがよくあります。そのうちの一つの弱点は、単一の侵害されたデバイスが従業員のラップトップや受信トレイに触れることなく侵入経路を提供できるため、攻撃者にとって魅力的です。

また、この種のデバイスを標的にするのは誰かということも覚えておくと役立ちます。司法省とFBIがFlax TyphoonのツールMicroscanとFishHubを押収した経緯に関する我々の報道は、国家に連なるグループがインターネットに面したインフラを狙ったツールに多大な投資を行っていることを示しています。Ivantiに関する報道は、この悪用を特定の主体に帰属させていないため、それは結論ではなく文脈として扱ってください。

Connect Secure管理者が今確認すべきこと

あなたの組織がConnect Secureを運用している場合、以下の手順が妥当な出発点です：

  • バージョンを確認する。 すべてのゲートウェイの正確なソフトウェアビルドを確認してください。忘れられがちなテスト用やフェイルオーバー用のユニットも含めて。
  • 現在のIvantiアドバイザリを読む。 この欠陥に関連するパッチまたは暫定緩和策を探し、変更プロセスが許す限り速やかに適用してください。
  • 組み込みの整合性ツールを使用する。 Ivantiがアプライアンス用の整合性チェッカーを提供している場合は実行し、後で比較できるようその出力を保存してください。
  • ログで異常な活動を確認する。 予期しない管理セッション、新しいアカウント、不審な外向き接続、あなたが行っていない設定変更を探してください。
  • 侵害の可能性がある場合は認証情報をローテーションする。 悪用の兆候が見つかった場合、ゲートウェイ上に保存されている、またはゲートウェイが使用するパスワードやシークレットをリセットしてください。認証情報の漏洩は別個の一般的な問題です。情報窃取マルウェアに晒された水道事業者に関するSpyCloudの調査結果は、盗まれたログイン情報がエッジデバイスのリスクをいかに悪化させうるかを思い起こさせます。
  • 露出を制限する。 管理インターフェースを制限し、オープンなインターネットから到達できないようにしてください。

すぐにパッチを適用できない場合は、ベンダーが公開した緩和ガイダンスに従い、適用できるようになるまでデバイスをより注意深く監視してください。

ベンダーのパッチポリシーがVPNの信頼にとって意味するもの

6月の発見は、ベンダーが緊急修正の基準をどのように設定しているかについて、もっともな疑問を提起します。帯域外パッチは顧客にとって負担が大きいため、ベンダーはすべての発見に対して発行したくはありません。しかし、製品が境界に位置するセキュリティゲートウェイである場合、待つことのコストは著しく偏っています。

そのトレードオフのどちらの側も、表面上は不合理ではありません。教訓は、ベンダーの内部重大度評価は実世界のリスクと同じではないということです。攻撃者は、欠陥がリリース基準以下に分類されたかどうかは気にしません。機能するかどうかを気にします。

顧客にとって、これはベンダーに直接質問することを促します：何が帯域外修正を正当化するかをどう決定するのか？内部的に発見された問題について、どれだけ迅速に顧客に通知するのか？部分的にしか理解されていなかったバグが後に悪用可能と判明した場合、どうなるのか？これらの質問への答えは、マーケティングページよりも信頼について多くを語ります。

これがあなたにとって意味すること

Connect Secureに依存している雇用主や学校のVPNを個人として使用している場合、ゲートウェイに自分でパッチを適用することはできませんが、行動することはできます。ITチームにアプライアンスが更新されたかどうかを尋ね、それに触れるすべてのアカウントで強力で固有のパスワードと多要素認証を使用してください。パスワードを変更するよう言われたら、速やかに行ってください。

ゲートウェイを運用している場合は、これを1つの製品だけでなく、エッジ資産全体を見直すきっかけとしてください。インターネットに面するあらゆるデバイスは、バージョン、露出、ログ記録に対して同じ注意を払う価値があります。

主なポイント

Ivanti Connect Secureゼロデイは、発見と修正の間の窓が欠陥そのものと同じくらい重要であることを思い起こさせます。Ivantiは6月に欠陥の一部を発見し、帯域外の基準以下と判断したと述べています。その後、攻撃者が先に到達しました。

Ivantiゲートウェイを運用している、または依存している場合は、今日バージョンを確認し、最新のパッチと緩和策を適用し、状況の進展に応じてIvantiのセキュリティアドバイザリを確認し続けてください。エッジデバイスを誰がなぜ標的にするかについてのより広い文脈については、Flax Typhoonのツール押収に関する我々のレポートをお読みください。