En null-dag-exploitkjede som retter seg mot Ivanti Connect Secure VPN-enheter, er blitt observert i naturen, ifølge en rapport fra sikkerhetsselskapet Rescana. Den rapporterte effekten er alvorlig: uautentiserte angripere kan oppnå ekstern kjøring av kode på root-nivå og stjele påloggingsinformasjon, selv på enheter som er fullt oppdatert. Denne null-dag-exploiten mot Ivanti Connect Secure er en påminnelse om at en VPN-gateway som sitter i nettverkets ytterkant, er et av de mest verdifulle målene en angriper kan velge.
Kilderapporten er bare delvis tilgjengelig for oss, så denne artikkelen holder seg til det som er bekreftet, og unngår å spekulere i tekniske detaljer. Der vi gir veiledning, er det generell sikkerhetspraksis snarere enn instruksjoner fra leverandøren.
Hvorfor en fullt oppdatert VPN-enhet fortsatt ble kompromittert
Ordet «null-dag» forklarer det meste. En null-dag er en sårbarhet som angripere utnytter før det finnes en retting, så å installere alle tilgjengelige oppdateringer beskytter ikke mot den. En fullt oppdatert enhet er bare beskyttet mot problemene som allerede er kjente og rettet.
Rapporten beskriver en exploitkjede, altså flere svakheter koblet sammen. Kjeder er vanlige i alvorlige angrep fordi en enkelt feil sjelden gir full kontroll alene. Sammen kan en serie mindre feil ta en angriper fra ingen tilgang i det hele tatt til full kontroll over enheten, uten at innlogging kreves.
For kontekst om tidslinjen har vpn.social allerede dekket Ivantis tidligere kjennskap til deler av sårbarheten. I den dekningen sa Ivanti at de oppdaget deler av feilen måneder før angripere brukte den, men vurderte at den ikke oppfylte kriteriene for en utenomordniær utgivelse. Den historikken er viktig fordi den viser hvor langt gapet kan være mellom at en leverandør oppdager et problem, og at kundene får en retting.
Hva root-tilgang og tyveri av påloggingsinformasjon betyr for brukere
Root er det høyeste privilegienivået på et Linux-basert system. En angriper med root på en VPN-enhet er ikke begrenset til det en vanlig bruker kan gjøre. De kan potensielt lese eller endre alt enheten håndterer, endre konfigurasjonen og kjøre sin egen kode.
Tyveri av påloggingsinformasjon er delen som påvirker vanlige brukere mest. En VPN-enhet behandler innlogginger for ansatte, kontraktører og partnere. Hvis en angriper kan fange opp disse påloggingsdetaljene, kan skadene spre seg langt utover enheten:
- Stjålne brukernavn og passord kan gjenbrukes for å nå interne systemer, e-post og skytjenester.
- Kompromitterte kontoer kan se ut som legitime fjernarbeidere, noe som gjør ondsinnet aktivitet vanskeligere å oppdage.
- Angripere kan beholde tilgang gjennom stjålne påloggingsdetaljer selv etter at selve enheten er ryddet opp.
Hvis du kobler til arbeidsplassen din gjennom Connect Secure, er den praktiske risikoen at påloggingsdetaljene dine kan bli eksponert uten at du har gjort noe galt.
Hvordan sjekke om Connect Secure-enheten din er eksponert
Hvis du drifter Ivanti Connect Secure, bør du anta at den er et mulig mål inntil du har bevis for det motsatte. Noen fornuftige sjekker:
- Bekreft eksponeringen din. Finn ut om enheten er tilgjengelig fra internett, og hvem som kan nå administrasjonsgrensesnittet. Alt som ikke trenger å være offentlig, bør ikke være det.
- Følg Ivantis rådgivninger. Leverandøren er den autoritative kilden for offisielle rettinger, avbøtende tiltak og deteksjonsveiledning, og disse detaljene kan endre seg etter hvert som etterforskningen fortsetter.
- Bruk leverandørens integritetsverktøy. Hvis Ivanti tilbyr en integritetssjekker eller lignende verktøy for produktet ditt, kjør den. Behandle et rent resultat med en viss forsiktighet, siden en angriper på root-nivå kan tukle med det enheten rapporterer om seg selv.
- Gå gjennom logger. Se etter uvanlige innlogginger, uventede administrative endringer, merkelige utgående tilkoblinger og autentiseringsaktivitet på rare tidspunkt eller fra ukjente steder.
- Spør sikkerhetsteamet eller leverandøren din. Hvis du ikke er administrator, spør dem direkte om enheten er blitt sjekket.
Avbøtende tiltak: roter påloggingsinformasjon, overvåk og legg på lag med forsvar
Fordi en retting ikke fullt ut kan løse et null-dag-problem, må forsvaret legges i lag.
- Roter påloggingsinformasjon. Hvis kompromittering er mulig, endre passord for VPN-brukere, tjenestekontoer og alle hemmeligheter som lagres på eller passerer gjennom enheten. Gjør dette etter at du har sikret enheten, ellers kan de nye påloggingsdetaljene også bli fanget opp.
- Håndhev multifaktorautentisering. Det begrenser hva stjålne passord alene kan gjøre, men det er ikke et fullstendig svar hvis en angriper kontrollerer selve gatewayen.
- Segmenter nettverket. VPN-brukere bør bare nå systemene de trenger, slik at en kompromittert konto eller enhet ikke kan bevege seg fritt.
- Overvåk kontinuerlig. Send enhetslogger til et separat system som enheten ikke kan endre, og varsle ved avvik.
- Planlegg for gjenoppbygging. Hvis du finner tegn på kompromittering, følg leverandørens veiledning om å bygge opp enheten på nytt i stedet for å anta at en enkel opprydding er nok.
Hva dette betyr for deg
Hvis du er administrator, er læren at oppdateringsstatus ikke er det samme som sikkerhet. Kantenheter trenger overvåking, begrenset eksponering og en hendelsesplan, ikke bare oppdateringer. Hvis du er VPN-bruker i en organisasjon som drifter Connect Secure, kontrollerer du ikke enheten, men du kan endre passordet ditt, aktivere multifaktorautentisering der det tilbys, og rapportere alt rart, for eksempel uventede påloggingsforespørsler eller sikkerhetsvarsler.
Neste steg
Gå gjennom eksponeringen din for Ivanti Connect Secure null-dag-exploiten i dag: sjekk hvem som kan nå enheten, les Ivantis nyeste veiledning, og roter påloggingsinformasjon hvis det er noe tegn til kompromittering. For bakgrunn om hvordan avsløringen og oppdateringstidslinjen utviklet seg, les vår tidligere rapport om Ivanti som fant sårbarheten i juni uten å gi ut en retting. Detaljene i denne exploitkjeden kan endre seg etter hvert som mer informasjon kommer frem, så fortsett å sjekke offisielle kilder.
