Jeden tydzień wiadomości o bezpieczeństwie zestawił obok siebie kilka różnych rodzajów ryzyka: naruszenie danych Pentagonu dotykające ponad trzy miliony osób, aktywnie wykorzystywane luki zero-day w Apple CoreGraphics i Fortinet FortiMail oraz doniesienia o dwóch lukach zdalnego wykonania kodu w Citrix NetScaler, które pozostają niezałatane. Wzięte razem, historia naruszenia danych Pentagonu i luk zero-day jest użytecznym przypomnieniem, że nie każde zagrożenie rozwiązuje się tym samym narzędziem.

Ten wpis trzyma się tego, co przekazał cotygodniowy biuletyn newslettera. Szczegóły wykraczające poza to podsumowanie, takie jak kwestie techniczne czy przypisanie ataku, nie zostały podane, więc nie spekulujemy na ich temat.

Co ujawniło naruszenie w Pentagonie i kogo dotyczy

Głównym tematem było naruszenie danych osobowych personelu Pentagonu dotykające ponad trzy miliony osób. Podsumowanie źródłowe potwierdza skalę i fakt, że chodzi o akta personalne, ale nie precyzuje, które pola zostały ujawnione ani w jaki sposób uzyskano dostęp do danych. Nie będziemy zgadywać w tych kwestiach.

Można powiedzieć, że dane personalne są z natury wrażliwe. Gdy akta powiązane z ludźmi zostaną skradzione, szkoda zwykle pojawia się później i innymi kanałami, takimi jak ukierunkowany phishing czy próby podszycia się. Dlatego każdy, kto może być dotknięty, powinien uważać na oficjalne powiadomienia i podchodzić ze szczególną ostrożnością do nieoczekiwanych wiadomości odwołujących się do jego zatrudnienia lub służby.

To także miejsce, w którym VPN nie pomaga. VPN szyfruje ruch między twoim urządzeniem a serwerem VPN. Nie cofnie naruszenia aktów przechowywanych przez organizację i nie ochroni danych skradzionych z systemu, którego nie kontrolujesz.

Luki zero-day w Apple CoreGraphics i FortiMail pod aktywnym atakiem

Newsletter zwrócił również uwagę na dwie luki zero-day opisane jako aktywnie wykorzystywane: jedną w Apple CoreGraphics i jedną w Fortinet FortiMail. „Aktywnie wykorzystywane" oznacza, że atakujący już używają tych luk, więc czekanie na dogodny moment na aktualizację niesie realne ryzyko.

CoreGraphics to komponent graficzny w oprogramowaniu Apple, więc luka tam jest problemem dla osób korzystających z urządzeń Apple. FortiMail to brama bezpieczeństwa poczty, co czyni ją bardziej istotną dla organizacji, które kierują przez nią pocztę e-mail. Podsumowanie nie podaje wersji łatających, identyfikatorów CVE ani szczegółów wykorzystania, więc tych konkretów należy szukać w oficjalnych biuletynach dostawców.

Żadna z tych luk nie jest czymś, co naprawi VPN. Luka na poziomie urządzenia występuje na samym urządzeniu, a luka w bramie pocztowej tkwi w infrastrukturze obsługiwanej przez organizację. Szyfrowanie połączenia nie zamyka żadnej z tych dziur. Rozwiązaniem jest poprawka dostawcy.

Niezałatane luki w Citrix NetScaler i na co uważać

Trzeci wątek dotyczy dwóch luk zdalnego wykonania kodu w Citrix NetScaler, które według doniesień wciąż pozostają niezałatane. Słowo „według doniesień" ma tu znaczenie: pochodzi z raportów podsumowanych w newsletterze, a administratorzy powinni potwierdzić status bezpośrednio w wytycznych Citrix.

Błędy zdalnego wykonania kodu w urządzeniach wystawionych na sieć są poważne, ponieważ systemy te często znajdują się na krawędzi sieci. Jeśli twoja organizacja używa NetScaler, praktyczne kroki to sprawdzenie biuletynów dostawcy, przegląd interfejsów wystawionych do internetu i monitorowanie nietypowej aktywności, dopóki poprawki nie będą dostępne.

Ten wzorzec starszych lub krawędziowych komponentów powracających jako cele nie jest nowy. Nasze cotygodniowe podsumowanie o Certighost, luce zero-day w Check Point i luce HTTP/2 obejmuje podobny zakres, w tym to, jak stare podatności wciąż wracają do uwagi.

Co VPN może, a czego nie może zrobić, gdy poprawki są wdrażane

VPN jest przydatny do konkretnego zadania: ograniczania ekspozycji sieciowej. Szyfruje twój ruch w niezaufanych sieciach, takich jak publiczne Wi-Fi, i ukrywa twój adres IP przed odwiedzanymi stronami. Jeśli pracujesz zdalnie, to ma znaczenie.

Jednak wydarzenia z tego newslettera wykraczają poza to zadanie:

  • Skradzione akta: Naruszenie danych osobowych następuje w systemach ich posiadacza, a nie w twoim połączeniu.
  • Luki na poziomie urządzenia: Luka w Apple CoreGraphics jest wykorzystywana na urządzeniu, niezależnie od tego, jak jest podłączone.
  • Luki w bramie pocztowej: Podatność FortiMail dotyczy infrastruktury serwerowej obsługującej pocztę e-mail.

VPN to jedna warstwa, nie substytut poprawki. Zwróć też uwagę, że urządzenia VPN i zdalnego dostępu same mogą być celem, co pokazują doniesienia o Citrix, więc aktualizowanie tego oprogramowania jest częścią obrazu.

Co to oznacza dla ciebie

Jeśli używasz urządzeń Apple, niezwłocznie instaluj dostępne aktualizacje, ponieważ aktywne wykorzystanie oznacza, że ryzyko jest bieżące. Jeśli jesteś administratorem używającym FortiMail, zastosuj poprawkę Fortinet, gdy tylko możesz ją zweryfikować. Jeśli używasz Citrix NetScaler, sprawdź wytyczne dostawcy, ogranicz ekspozycję i obserwuj logi.

Jeśli uważasz, że możesz być dotknięty naruszeniem w Pentagonie, wypatruj oficjalnych powiadomień i zachowaj ostrożność wobec niezamówionych e-maili, telefonów lub wiadomości tekstowych wspominających twoje zatrudnienie lub dane osobowe. Używaj unikalnych haseł i włączaj uwierzytelnianie wieloskładnikowe, gdzie to możliwe.

Praktyczne wnioski

  • Natychmiast zastosuj poprawki Apple i Fortinet i potwierdź wersje w biuletynach dostawców.
  • Przejrzyj swoją ekspozycję: wiedz, jakie urządzenia, bramy pocztowe i urządzenia krawędziowe używasz.
  • W przypadku NetScaler postępuj zgodnie z wytycznymi dostawcy i monitoruj nietypową aktywność, dopóki luki są zgłaszane jako niezałatane.
  • Podchodź z podejrzliwością do nieoczekiwanych wiadomości, jeśli możesz być częścią naruszenia w Pentagonie.
  • Używaj VPN do tego, co robi dobrze — ochrony ruchu w niezaufanych sieciach — ale nie polegaj na nim w przypadku naruszeń czy luk na poziomie urządzeń.

Historia naruszenia danych Pentagonu i luk zero-day pokazuje, że obrona warstwowa bije każde pojedyncze narzędzie. Aby uzyskać więcej kontekstu na temat ostatnich luk zero-day i starszych podatności wracających na pierwszy plan, przeczytaj nasze cotygodniowe podsumowanie i aktualizuj swoje systemy.