Ivanti twierdzi, że zauważyło część usterki stojącej za nowo wykorzystanym Ivanti Connect Secure zero-day miesiące przed tym, jak atakujący ją wykorzystali, ale uznało, że problem nie spełnia kryteriów dla wydania poza cyklem. Według doniesień CyberScoop, firma odkryła część wady podczas wewnętrznych kontroli bezpieczeństwa w czerwcu. Zanim poprawka stała się pilna, atakujący już wykorzystywali błąd w środowisku produkcyjnym.

To właśnie ta sekwencja zdarzeń czyni tę historię godną uwagi. Chodzi tu mniej o niespodziewaną podatność, a bardziej o decyzję, która się nie zestarzała dobrze.

Co Ivanti znalazło w czerwcu i dlaczego czekało

Wyjaśnienie Ivanti, podsumowane przez CyberScoop, jest wąskie, ale istotne. Wewnętrzne kontrole firmy wykryły część wady w czerwcu. Ivanti następnie oceniło ją według swoich kryteriów dla wydania poza cyklem, czyli poprawki dostarczanej poza normalnym harmonogramem aktualizacji, i uznało, że nie osiąga tego progu.

W praktyce dostawcy triażują znaleziska według wagi, możliwości wykorzystania i dowodów na nadużycia. Błąd, który sam w sobie wygląda na trudny do osiągnięcia lub o niskim wpływie, często czeka na następną regularną aktualizację. Haczyk polega na tym, że firma twierdzi, iż widziała tylko część wady. Częściowy obraz usterki może zaniżać jej niebezpieczeństwo, gdy ktoś znajdzie resztę.

Materiał źródłowy udostępniony tutaj nie opisuje szczegółowo pełnej technicznej natury błędu, więc warto zachować ostrożność co do tego, co jest, a co nie jest znane. Co zostało zgłoszone: data odkrycia, wewnętrzna ocena i decyzja o niepodejmowaniu pośpiesznej naprawy.

Jak wada stała się wykorzystywanym zero-day

Podatność staje się zero-day, gdy atakujący wykorzystują ją, zanim istnieje poprawka. Taka jest sytuacja zgłoszona dla Connect Secure. Ponieważ poprawka nie została wydana, obrońcy nie mieli oficjalnego rozwiązania, gdy rozpoczęło się aktywne wykorzystywanie.

Connect Secure to szeroko wdrażana brama VPN i to ma znaczenie. Takie bramy znajdują się na krawędzi sieci, z założenia są wystawione na internet i często zajmują uprzywilejowaną pozycję między użytkownikami z zewnątrz a systemami wewnętrznymi. Słabość w jednej z nich jest atrakcyjna dla atakujących, ponieważ jedno przejęte urządzenie może zapewnić drogę do wnętrza bez dotykania laptopa czy skrzynki odbiorczej pracownika.

Warto też pamiętać, kto zazwyczaj poluje na tę klasę urządzeń. Nasze omówienie tego, jak DOJ i FBI przejęły narzędzia Flax Typhoon Microscan i FishHub, pokazuje, że grupy powiązane z państwami inwestują znaczne środki w narzędzia wymierzone w infrastrukturę wystawioną na internet. Doniesienia o Ivanti nie przypisują tego wykorzystania żadnemu konkretnemu aktorowi, więc traktuj to jako kontekst, a nie wniosek.

Co administratorzy Connect Secure powinni teraz sprawdzić

Jeśli Twoja organizacja używa Connect Secure, te kroki są rozsądnym punktem wyjścia:

  • Potwierdź swoją wersję. Sprawdź dokładną kompilację oprogramowania na każdej bramie, w tym na jednostkach testowych i zapasowych, o których łatwo zapomnieć.
  • Przeczytaj aktualny biuletyn Ivanti. Poszukaj poprawki lub tymczasowego środka zaradczego związanego z tą wadą i zastosuj go tak szybko, jak pozwala na to Twój proces zmian.
  • Użyj wbudowanych narzędzi integralności. Jeśli Ivanti udostępnia checker integralności dla urządzenia, uruchom go i zachowaj jego wyniki do późniejszego porównania.
  • Przejrzyj logi pod kątem nietypowej aktywności. Szukaj nieoczekiwanych sesji administracyjnych, nowych kont, dziwnych połączeń wychodzących lub zmian konfiguracji, których nie wprowadzałeś.
  • Rotuj poświadczenia tam, gdzie możliwe jest przejęcie. Zresetuj hasła i sekrety przechowywane na bramie lub używane przez nią, jeśli znajdziesz oznaki nadużycia. Ekspozycja poświadczeń to osobny, powszechny problem; ustalenia SpyCloud dotyczące zakładów wodociągowych narażonych na złośliwe oprogramowanie infostealer przypominają, jak skradzione dane logowania mogą pogłębiać ryzyko związane z urządzeniami brzegowymi.
  • Ogranicz ekspozycję. Ogranicz interfejsy zarządzania, aby nie były osiągalne z otwartego internetu.

Jeśli nie możesz natychmiast zastosować poprawki, postępuj zgodnie z wytycznymi dotyczącymi środków zaradczych opublikowanymi przez dostawcę i monitoruj urządzenie bliżej, dopóki nie będziesz mógł tego zrobić.

Co polityki łatek dostawców oznaczają dla zaufania do VPN

Odkrycie z czerwca rodzi uzasadnione pytanie o to, jak dostawcy ustalają próg dla pilnych poprawek. Poprawki poza cyklem są uciążliwe dla klientów, więc dostawcy nie chcą ich wydawać dla każdego znaleziska. Ale koszt czekania jest asymetryczny, gdy produktem jest brama bezpieczeństwa stojąca na obwodzie.

Żadna ze stron tego kompromisu nie jest z gruntu nierozsądna. Lekcja jest taka, że wewnętrzna ocena wagi przez dostawcę nie jest tym samym co rzeczywiste ryzyko. Atakujących nie obchodzi, czy wada została sklasyfikowana poniżej progu wydania; ich interesuje, czy działa.

Dla klientów oznacza to potrzebę zadawania dostawcom bezpośrednich pytań: Jak decydujecie, co wymaga poprawki poza cyklem? Jak szybko informujecie klientów o problemach znalezionych wewnętrznie? Co się dzieje, gdy częściowo zrozumiały błąd zostanie później uznany za możliwy do wykorzystania? Odpowiedzi na te pytania mówią więcej o zaufaniu niż strona marketingowa.

Co to oznacza dla Ciebie

Jeśli jesteś osobą używającą VPN od pracodawcy lub szkoły, które polegają na Connect Secure, nie możesz samodzielnie załatać bramy, ale możesz działać. Zapytaj swój zespół IT, czy urządzenie zostało zaktualizowane, i używaj silnych, unikalnych haseł oraz uwierzytelniania wieloskładnikowego na każdym koncie, które ma z nim kontakt. Jeśli zostaniesz poproszony o zmianę hasła, zrób to niezwłocznie.

Jeśli zarządzasz bramą, potraktuj to jako zachętę do przeglądu całego swojego inwentarza brzegowego, nie tylko jednego produktu. Każde urządzenie wystawione na internet zasługuje na taką samą uwagę pod względem wersji, ekspozycji i logowania.

Kluczowe wnioski

Ivanti Connect Secure zero-day przypomina, że okno między odkryciem a poprawką ma znaczenie równie duże jak sama wada. Ivanti twierdzi, że znalazło część usterki w czerwcu i oceniło ją poniżej progu poza cyklem; atakujący dotarli do niej pierwsi.

Jeśli używasz bram Ivanti lub polegasz na nich, zweryfikuj swoją wersję jeszcze dziś, zastosuj najnowsze poprawki i środki zaradcze oraz regularnie sprawdzaj biuletyny bezpieczeństwa Ivanti, gdy sytuacja się rozwija. Aby uzyskać szerszy kontekst na temat tego, kto celuje w urządzenia brzegowe i dlaczego, przeczytaj nasz raport o przejęciu narzędzi Flax Typhoon.