Ivanti sier de oppdaget en del av feilen bak en nylig utnyttet Ivanti Connect Secure zero-day måneder før angripere brukte den, men besluttet at problemet ikke nådde terskelen for en utenomordnær utgivelse. Ifølge rapportering fra CyberScoop fant selskapet en del av feilen under interne sikkerhetskontroller i juni. Da en retting ble akutt, utnyttet angripere allerede feilen i naturen.

Det er denne sekvensen som gjør denne saken bemerkelsesverdig. Det handler mindre om en overraskende sårbarhet og mer om en vurdering som ikke tålte tidens tann.

Hva Ivanti fant i juni og hvorfor de ventet

Ivantis forklaring, slik CyberScoop oppsummerer den, er snever men viktig. Selskapets egne interne kontroller avdekket en del av feilen i juni. Ivanti vurderte den deretter opp mot sine kriterier for en utenomordnær utgivelse, altså en oppdatering som sendes ut utenfor den vanlige planlagte oppdateringssyklusen, og konkluderte med at den ikke nådde denne terskelen.

I praksis prioriterer leverandører funn etter alvorlighetsgrad, utnyttbarhet og tegn på misbruk. En feil som ser vanskelig ut å nå eller har lav påvirkning alene, venter ofte til neste vanlige oppdatering. Haken er at selskapet sier de bare så en del av feilen. Et delvis bilde av en feil kan undervurdere hvor farlig den er når noen finner resten.

Kildematerialet som er tilgjengelig her, beskriver ikke den fulle tekniske naturen til feilen, så det er verdt å være forsiktig med hva som er og ikke er kjent. Det som rapporteres: oppdagelsesdatoen, den interne vurderingen og beslutningen om ikke å skynde seg med en retting.

Hvordan feilen ble en utnyttet zero-day

En sårbarhet blir en zero-day når angripere utnytter den før en oppdatering finnes. Det er situasjonen som rapporteres for Connect Secure. Fordi rettingen ikke var sendt ut, hadde forsvarere ingen offisiell løsning da aktiv utnyttelse begynte.

Connect Secure er en mye utplassert VPN-gateway, og det er viktig. Gatewayer som denne sitter i nettverkets ytterkant, vender mot internettet av design og har ofte en privilegert posisjon mellom eksterne brukere og interne systemer. En svakhet i en av dem er attraktiv for angripere fordi en enkelt kompromittert enhet kan gi en vei inn uten å berøre en ansatts laptop eller innboks.

Det hjelper også å huske hvem som pleier å gå etter denne klassen av enheter. Vår dekning av hvordan DOJ og FBI beslagla Flax Typhoon-verktøyene Microscan og FishHub viser at statslenkede grupper investerer tungt i verktøy rettet mot internettvendt infrastruktur. Rapporteringen om Ivanti tilskriver ikke denne utnyttelsen til noen bestemt aktør, så behandle det som kontekst snarere enn en konklusjon.

Hva Connect Secure-administratorer bør sjekke nå

Hvis organisasjonen din kjører Connect Secure, er disse trinnene et fornuftig utgangspunkt:

  • Bekreft versjonen din. Sjekk den nøyaktige programvarebyggingen på hver gateway, inkludert test- og failover-enheter som er lette å glemme.
  • Les gjeldende Ivanti-råd. Se etter oppdateringen eller midlertidig avbøtende tiltak knyttet til denne feilen, og bruk den så snart endringsprosessen din tillater.
  • Bruk innebygde integritetsverktøy. Hvis Ivanti tilbyr en integritetssjekker for apparatet, kjør den, og ta vare på resultatet for senere sammenligning.
  • Gjennomgå logger for uvanlig aktivitet. Se etter uventede administrative økter, nye kontoer, merkelige utgående tilkoblinger eller konfigurasjonsendringer du ikke har gjort.
  • Roter legitimasjon der kompromittering er mulig. Tilbakestill passord og hemmeligheter som er lagret på eller brukt av gatewayen hvis du finner tegn på misbruk. Eksponering av legitimasjon er et separat, vanlig problem; SpyClouds funn om vannverk eksponert for infostealer-skadevare er en påminnelse om hvordan stjålne påloggingsdata kan forsterke risikoen ved edge-enheter.
  • Begrens eksponering. Begrens administrasjonsgrensesnitt slik at de ikke er tilgjengelige fra det åpne internettet.

Hvis du ikke kan oppdatere umiddelbart, følg eventuell avbøtende veiledning leverandøren har publisert, og overvåk enheten nøyere til du kan.

Hva leverandørers oppdateringspolicyer betyr for VPN-tillit

Junioppdagelsen reiser et berettiget spørsmål om hvordan leverandører setter terskelen for akutte rettinger. Utenomordnære oppdateringer er forstyrrende for kunder, så leverandører ønsker ikke å sende dem ut for hvert funn. Men kostnaden ved å vente er skjev når produktet er en sikkerhetsgateway som sitter i ytterkanten.

Ingen av sidene i denne avveiningen er urimelige i seg selv. Lærdommen er at en leverandørs interne alvorlighetsvurdering ikke er det samme som risiko i den virkelige verden. Angripere bryr seg ikke om en feil ble klassifisert under en utgivelsesterskel; de bryr seg om den fungerer.

For kunder taler dette for å stille leverandører direkte spørsmål: Hvordan bestemmer dere hva som rettferdiggjør en utenomordnær retting? Hvor raskt varsler dere kunder om problemer som oppdages internt? Hva skjer når en delvis forstått feil senere viser seg å være utnyttbar? Svarene på disse spørsmålene sier mer om tillit enn en markedsføringsside gjør.

Hva dette betyr for deg

Hvis du er en enkeltperson som bruker en VPN fra en arbeidsgiver eller skole som er avhengig av Connect Secure, kan du ikke oppdatere gatewayen selv, men du kan handle. Spør IT-teamet ditt om apparatet er oppdatert, og bruk sterke, unike passord og flerfaktorautentisering på enhver konto som berører det. Hvis du blir bedt om å endre et passord, gjør det umiddelbart.

Hvis du drifter gatewayen, behandle dette som en oppfordring til å gjennomgå hele edge-inventaret ditt, ikke bare ett produkt. Enhver internettvendt enhet fortjener samme oppmerksomhet på versjon, eksponering og logging.

Viktige punkter

Ivanti Connect Secure zero-day er en påminnelse om at vinduet mellom oppdagelse og retting betyr like mye som feilen selv. Ivanti sier de fant en del av feilen i juni og vurderte den som under terskelen for utenomordnær utgivelse; angriperne nådde den deretter først.

Hvis du drifter eller er avhengig av Ivanti-gatewayer, bekreft versjonen din i dag, bruk de nyeste oppdateringene og avbøtende tiltakene, og følg med på Ivantis sikkerhetsråd etter hvert som situasjonen utvikler seg. For bredere kontekst om hvem som målretter seg mot edge-enheter og hvorfor, les vår rapport om Flax Typhoon-verktøybeslagene.