Een zero-day-exploitketen gericht op Ivanti Connect Secure VPN-apparaten is in het wild waargenomen, volgens een rapport van beveiligingsbedrijf Rescana. De gerapporteerde impact is ernstig: niet-geauthenticeerde aanvallers kunnen root-level remote code execution bereiken en inloggegevens stelen, zelfs op apparaten die volledig gepatcht zijn. Deze Ivanti Connect Secure zero-day-exploit is een herinnering dat een VPN-gateway aan de rand van een netwerk een van de meest waardevolle doelwitten is die een aanvaller kan kiezen.

Het bronrapport is slechts gedeeltelijk beschikbaar voor ons, dus dit artikel houdt zich aan wat bevestigd is en vermijdt speculatie over technische details. Waar we advies geven, is het algemene beveiligingspraktijk en geen door de leverancier verstrekte instructies.

Waarom een volledig gepatcht VPN-apparaat toch werd gecompromitteerd

Het woord "zero-day" verklaart het meeste. Een zero-day is een kwetsbaarheid die aanvallers uitbuiten voordat er een oplossing bestaat, dus het installeren van elke beschikbare update beschermt er niet tegen. Een volledig gepatcht apparaat is alleen beschermd tegen de problemen die al bekend en opgelost zijn.

Het rapport beschrijft een exploitketen, wat betekent dat verschillende zwakke plekken met elkaar verbonden zijn. Ketens komen vaak voor bij ernstige aanvallen omdat één bug zelden volledige controle geeft. Gecombineerd kan een reeks kleinere kwetsbaarheden een aanvaller van geen toegang tot volledige controle over het apparaat brengen, zonder dat er ingelogd hoeft te worden.

Voor context over de timing: vpn.social heeft al verslag gedaan over Ivanti's eerdere kennis van een deel van de kwetsbaarheid. In dat artikel zei Ivanti dat het een deel van het defect maanden voordat aanvallers het gebruikten had opgemerkt, maar oordeelde dat het niet voldeed aan de drempel voor een out-of-band-release. Die geschiedenis is belangrijk omdat het laat zien hoe lang de kloof kan zijn tussen het moment waarop een leverancier een probleem opmerkt en het moment waarop klanten een oplossing krijgen.

Wat root-toegang en diefstal van inloggegevens betekenen voor gebruikers

Root is het hoogste privilegeniveau op een Linux-gebaseerd systeem. Een aanvaller met root op een VPN-apparaat is niet beperkt tot wat een normale gebruiker zou kunnen doen. Ze kunnen mogelijk alles lezen of wijzigen wat het apparaat verwerkt, de configuratie aanpassen en hun eigen code uitvoeren.

Diefstal van inloggegevens is het deel dat gewone gebruikers het meest raakt. Een VPN-apparaat verwerkt logins voor werknemers, contractanten en partners. Als een aanvaller die inloggegevens kan onderscheppen, kan de schade zich ver buiten het apparaat verspreiden:

  • Gestolen gebruikersnamen en wachtwoorden kunnen opnieuw worden gebruikt om interne systemen, e-mail en clouddiensten te bereiken.
  • Gecompromitteerde accounts kunnen eruitzien als legitieme remote workers, waardoor kwaadwillige activiteit moeilijker te herkennen is.
  • Aanvallers kunnen toegang behouden via gestolen inloggegevens, zelfs nadat het apparaat zelf is opgeschoond.

Als je via Connect Secure verbinding maakt met je werkplek, is het praktische risico dat je inloggegevens kunnen worden blootgesteld zonder dat je iets verkeerd hebt gedaan.

Hoe je controleert of je Connect Secure-apparaat blootgesteld is

Als je Ivanti Connect Secure beheert, ga er dan van uit dat het een mogelijk doelwit is tot je het tegendeel hebt bewezen. Een paar verstandige controles:

  1. Bevestig je blootstelling. Zoek uit of het apparaat bereikbaar is vanaf het internet en wie toegang heeft tot de beheerinterface. Alles wat niet openbaar hoeft te zijn, zou dat ook niet moeten zijn.
  2. Volg Ivanti's adviezen. De leverancier is de gezaghebbende bron voor officiële oplossingen, mitigerende maatregelen en detectierichtlijnen, en die details kunnen veranderen naarmate het onderzoek vordert.
  3. Gebruik de integriteitstools van de leverancier. Als Ivanti een integriteitschecker of vergelijkbaar hulpmiddel voor je product biedt, voer het dan uit. Behandel een schone uitslag met enige voorzichtigheid, aangezien een aanvaller op root-niveau kan manipuleren wat het apparaat over zichzelf rapporteert.
  4. Controleer logs. Let op ongebruikelijke logins, onverwachte administratieve wijzigingen, vreemde uitgaande verbindingen en authenticatieactiviteit op vreemde tijden of vanaf onbekende locaties.
  5. Vraag je beveiligingsteam of provider. Als je niet de beheerder bent, vraag hen dan direct of het apparaat is gecontroleerd.

Mitigerende stappen: roteer inloggegevens, monitor en bouw gelaagde verdediging op

Omdat een patch een zero-day-probleem niet volledig kan oplossen, moet de verdediging gelaagd zijn.

  • Roteer inloggegevens. Als compromittering mogelijk is, wijzig dan wachtwoorden voor VPN-gebruikers, serviceaccounts en alle secrets die op of via het apparaat zijn opgeslagen. Doe dit nadat je het apparaat hebt beveiligd, anders kunnen de nieuwe inloggegevens ook worden onderschept.
  • Handhaaf multi-factor-authenticatie. Het beperkt wat gestolen wachtwoorden alleen kunnen doen, hoewel het geen volledig antwoord is als een aanvaller de gateway zelf beheert.
  • Segmenteer het netwerk. VPN-gebruikers zouden alleen de systemen moeten bereiken die ze nodig hebben, zodat een gecompromitteerd account of apparaat niet vrij kan bewegen.
  • Monitor continu. Stuur apparaatlogs naar een apart systeem dat het apparaat niet kan wijzigen, en waarschuw bij afwijkingen.
  • Plan voor herbouw. Als je tekenen van compromittering vindt, volg dan de richtlijnen van de leverancier voor het herbouwen van het apparaat in plaats van aan te nemen dat een simpele opschoning voldoende is.

Wat dit voor jou betekent

Als je een beheerder bent, is de les dat patchstatus niet hetzelfde is als veiligheid. Edge-apparaten hebben monitoring, beperkte blootstelling en een incidentplan nodig, niet alleen updates. Als je een VPN-gebruiker bent bij een organisatie die Connect Secure draait, heb je geen controle over het apparaat, maar je kunt je wachtwoord wijzigen, multi-factor-authenticatie inschakelen waar dat wordt aangeboden, en alles vreemds melden, zoals onverwachte loginprompts of beveiligingswaarschuwingen.

Volgende stappen

Beoordeel vandaag nog je blootstelling aan de Ivanti Connect Secure zero-day-exploit: controleer wie het apparaat kan bereiken, lees de nieuwste Ivanti-richtlijnen en roteer inloggegevens als er enig teken van compromittering is. Voor achtergrondinformatie over hoe de openbaarmaking en de patch-tijdlijn zich ontvouwden, lees ons eerdere rapport over Ivanti dat de kwetsbaarheid in juni vond zonder een oplossing uit te brengen. Details van deze exploitketen kunnen veranderen naarmate er meer informatie beschikbaar komt, dus blijf officiële bronnen controleren.