Ivanti zegt dat het een deel van het defect achter een recent misbruikte Ivanti Connect Secure zero-day maanden voordat aanvallers het gebruikten al had opgemerkt, maar besloot dat het probleem niet voldeed aan de drempel voor een out-of-band release. Volgens berichtgeving van CyberScoop vond het bedrijf een deel van de kwetsbaarheid tijdens interne beveiligingscontroles in juni. Tegen de tijd dat een oplossing urgent was, misbruikten aanvallers de bug al in het wild.

Die opeenvolging is wat dit verhaal opmerkelijk maakt. Het gaat minder om een verrassende kwetsbaarheid en meer om een beoordelingsbeslissing die niet goed uitpakte.

Wat Ivanti in juni vond en waarom het wachtte

Ivanti's uitleg, zoals samengevat door CyberScoop, is beperkt maar belangrijk. De eigen interne controles van het bedrijf brachten een deel van het defect in juni aan het licht. Ivanti beoordeelde het vervolgens aan de hand van zijn criteria voor een out-of-band release, dat wil zeggen een patch die buiten de normale geplande updatecyclus wordt uitgebracht, en concludeerde dat het die drempel niet haalde.

In de praktijk triëren leveranciers bevindingen op basis van ernst, misbruikbaarheid en bewijs van misbruik. Een bug die op zichzelf moeilijk bereikbaar of laagimpactvol lijkt, wacht vaak op de volgende reguliere update. Het addertje onder het gras is dat het bedrijf zegt slechts een deel van het defect te hebben gezien. Een gedeeltelijk beeld van een kwetsbaarheid kan onderschatten hoe gevaarlijk deze is zodra iemand de rest vindt.

Het hier verstrekte bronmateriaal gaat niet in detail in op de volledige technische aard van de bug, dus het is verstandig voorzichtig te zijn met wat wel en niet bekend is. Wat wordt gerapporteerd: de datum van ontdekking, de interne beoordeling en de beslissing om geen oplossing te overhaasten.

Hoe de kwetsbaarheid een misbruikte zero-day werd

Een kwetsbaarheid wordt een zero-day wanneer aanvallers deze misbruiken voordat er een patch bestaat. Dat is de situatie die wordt gerapporteerd voor Connect Secure. Omdat de oplossing nog niet was uitgebracht, hadden verdedigers geen officieel middel toen actief misbruik begon.

Connect Secure is een breed ingezette VPN-gateway, en dat is belangrijk. Dergelijke gateways bevinden zich aan de rand van een netwerk, staan per ontwerp bloot aan het internet en bekleden vaak een bevoorrechte positie tussen externe gebruikers en interne systemen. Een zwakte in een ervan is aantrekkelijk voor aanvallers, omdat één gecompromitteerd apparaat een manier naar binnen kan bieden zonder de laptop of inbox van een medewerker aan te raken.

Het helpt ook te onthouden wie doorgaans op deze klasse van apparaten jaagt. Onze berichtgeving over hoe het DOJ en de FBI Flax Typhoon-tools Microscan en FishHub in beslag namen laat zien dat staatsgebonden groepen zwaar investeren in tooling gericht op internetgerichte infrastructuur. De berichtgeving over Ivanti schrijft dit misbruik niet toe aan een bepaalde actor, dus beschouw dat als context en niet als conclusie.

Wat Connect Secure-beheerders nu moeten controleren

Als uw organisatie Connect Secure draait, zijn deze stappen een verstandig uitgangspunt:

  • Controleer uw versie. Controleer de exacte softwarebuild op elke gateway, inclusief test- en failover-eenheden die gemakkelijk vergeten worden.
  • Lees het actuele Ivanti-advies. Zoek naar de patch of tussentijdse mitigatie met betrekking tot deze kwetsbaarheid, en pas deze zo snel als uw wijzigingsproces toestaat toe.
  • Gebruik eventuele ingebouwde integriteitstools. Als Ivanti een integriteitscontrole voor het apparaat biedt, voer deze dan uit en bewaar de uitvoer voor latere vergelijking.
  • Controleer logs op ongebruikelijke activiteit. Let op onverwachte beheersessies, nieuwe accounts, vreemde uitgaande verbindingen of configuratiewijzigingen die u niet hebt aangebracht.
  • Roteer inloggegevens waar compromittering mogelijk is. Reset wachtwoorden en secrets die op de gateway zijn opgeslagen of erdoor worden gebruikt als u tekenen van misbruik vindt. Blootstelling van inloggegevens is een apart, veelvoorkomend probleem; de bevindingen van SpyCloud over waterbedrijven die blootstaan aan infostealer-malware zijn een herinnering aan hoe gestolen logins het risico van edge-apparaten kunnen verergeren.
  • Beperk blootstelling. Beperk beheerinterfaces zodat ze niet vanaf het open internet bereikbaar zijn.

Als u niet onmiddellijk kunt patchen, volg dan de mitigatierichtlijnen die de leverancier heeft gepubliceerd en houd het apparaat nauwlettender in de gaten totdat u dat wel kunt.

Wat leverancierspatchbeleid betekent voor VPN-vertrouwen

De ontdekking in juni roept een terechte vraag op over hoe leveranciers de drempel voor urgente oplossingen bepalen. Out-of-band patches zijn ontwrichtend voor klanten, dus leveranciers willen ze niet voor elke bevinding uitbrengen. Maar de kosten van wachten zijn scheef verdeeld wanneer het product een beveiligingsgateway is die aan de perimeter staat.

Geen van beide kanten van die afweging is op het eerste gezicht onredelijk. De les is dat de interne ernstbeoordeling van een leverancier niet hetzelfde is als reëel risico. Aanvallers kan het niet schelen of een kwetsbaarheid als onder een releasedrempel is geclassificeerd; zij geven erom of het werkt.

Voor klanten pleit dit ervoor leveranciers directe vragen te stellen: Hoe bepaalt u wat een out-of-band-oplossing rechtvaardigt? Hoe snel informeert u klanten over intern gevonden problemen? Wat gebeurt er wanneer een gedeeltelijk begrepen bug later misbruikbaar blijkt? De antwoorden op die vragen zeggen meer over vertrouwen dan een marketingpagina.

Wat dit voor u betekent

Als u een individu bent dat een VPN van een werkgever of school gebruikt die op Connect Secure vertrouwt, kunt u de gateway niet zelf patchen, maar u kunt wel actie ondernemen. Vraag uw IT-team of het apparaat is bijgewerkt, en gebruik sterke, unieke wachtwoorden en multifactorauthenticatie op elk account dat ermee te maken heeft. Als u wordt gevraagd een wachtwoord te wijzigen, doe dat dan snel.

Als u de gateway beheert, beschouw dit dan als een aansporing om uw hele edge-inventaris te herzien, niet slechts één product. Elk internetgericht apparaat verdient dezelfde aandacht voor versie, blootstelling en logging.

Belangrijkste punten

De Ivanti Connect Secure zero-day is een herinnering dat het venster tussen ontdekking en oplossing net zo belangrijk is als de kwetsbaarheid zelf. Ivanti zegt een deel van het defect in juni te hebben gevonden en het onder de out-of-band-drempel te hebben beoordeeld; aanvallers bereikten het vervolgens als eerste.

Als u Ivanti-gateways draait of ervan afhankelijk bent, verifieer vandaag uw versie, pas de nieuwste patches en mitigaties toe, en blijf de beveiligingsadviezen van Ivanti volgen naarmate de situatie zich ontwikkelt. Voor bredere context over wie edge-apparaten target en waarom, lees ons rapport over de Flax Typhoon-toolinbeslagnames.