A Ivanti afirma ter identificado parte do defeito por trás de um zero-day do Ivanti Connect Secure recém-explorado meses antes de os atacantes o utilizarem, mas decidiu que o problema não atingia o critério para um lançamento fora do ciclo regular. Segundo reportagem da CyberScoop, a empresa encontrou uma parte da falha durante verificações internas de segurança em junho. Quando a correção se tornou urgente, os atacantes já estavam explorando o bug em campo.

Essa sequência é o que torna esta história notável. Trata-se menos de uma vulnerabilidade surpresa e mais de uma decisão que não envelheceu bem.

O que a Ivanti encontrou em junho e por que esperou

A explicação da Ivanti, conforme resumida pela CyberScoop, é restrita, mas importante. As verificações internas da própria empresa revelaram parte do defeito em junho. A Ivanti então avaliou-o segundo seus critérios para um lançamento fora do ciclo regular, ou seja, um patch distribuído fora do ciclo normal de atualizações agendadas, e concluiu que não atingia esse limiar.

Na prática, os fornecedores triam as descobertas por gravidade, explorabilidade e evidências de abuso. Um bug que parece difícil de alcançar ou de baixo impacto por si só frequentemente aguarda a próxima atualização regular. O problema é que a empresa afirma ter visto apenas uma parte do defeito. Uma visão parcial de uma falha pode subestimar o quão perigosa ela é quando alguém encontra o restante.

O material de origem fornecido aqui não detalha a natureza técnica completa do bug, portanto é prudente ter cuidado com o que se sabe e o que não se sabe. O que é relatado: a data da descoberta, a avaliação interna e a decisão de não apressar uma correção.

Como a falha se tornou um zero-day explorado

Uma vulnerabilidade se torna um zero-day quando os atacantes a exploram antes de existir um patch. Essa é a situação relatada para o Connect Secure. Como a correção não havia sido distribuída, os defensores não tinham remédio oficial quando a exploração ativa começou.

O Connect Secure é um gateway VPN amplamente implantado, e isso importa. Gateways como esse ficam na borda de uma rede, voltados para a internet por design, e frequentemente ocupam uma posição privilegiada entre usuários externos e sistemas internos. Uma fraqueza em um deles é atraente para atacantes porque um único dispositivo comprometido pode oferecer uma forma de entrada sem tocar no laptop ou na caixa de entrada de um funcionário.

Também ajuda lembrar quem costuma atacar essa classe de dispositivo. Nossa cobertura sobre como o DOJ e o FBI apreenderam as ferramentas Microscan e FishHub do Flax Typhoon mostra que grupos ligados a Estados investem pesadamente em ferramentas voltadas para infraestrutura exposta à internet. A reportagem sobre a Ivanti não atribui essa exploração a nenhum ator específico, então trate isso como contexto, não como conclusão.

O que os administradores do Connect Secure devem verificar agora

Se sua organização utiliza o Connect Secure, estes passos são um ponto de partida sensato:

  • Confirme sua versão. Verifique a build exata do software em cada gateway, incluindo unidades de teste e de failover que são fáceis de esquecer.
  • Leia o aviso atual da Ivanti. Procure o patch ou a mitigação provisória relacionada a esta falha e aplique-o assim que seu processo de mudança permitir.
  • Use quaisquer ferramentas de integridade integradas. Se a Ivanti fornece um verificador de integridade para o appliance, execute-o e guarde sua saída para comparação posterior.
  • Revise os logs em busca de atividade incomum. Procure sessões administrativas inesperadas, novas contas, conexões de saída estranhas ou alterações de configuração que você não fez.
  • Rotacione credenciais onde o comprometimento é possível. Redefina senhas e segredos armazenados ou usados pelo gateway se encontrar sinais de abuso. A exposição de credenciais é um problema separado e comum; as descobertas da SpyCloud sobre empresas de água expostas a malware infostealer são um lembrete de como logins roubados podem agravar o risco de dispositivos de borda.
  • Limite a exposição. Restrinja as interfaces de gerenciamento para que não sejam acessíveis pela internet aberta.

Se você não puder aplicar o patch imediatamente, siga qualquer orientação de mitigação publicada pelo fornecedor e monitore o dispositivo mais de perto até conseguir.

O que as políticas de patch dos fornecedores significam para a confiança em VPNs

A descoberta de junho levanta uma questão justa sobre como os fornecedores definem o limiar para correções urgentes. Patches fora do ciclo regular são disruptivos para os clientes, então os fornecedores não querem emiti-los para cada descoberta. Mas o custo de esperar é desequilibrado quando o produto é um gateway de segurança que fica no perímetro.

Nenhum dos lados dessa troca é irracional à primeira vista. A lição é que a classificação interna de gravidade de um fornecedor não é o mesmo que o risco no mundo real. Os atacantes não se importam se uma falha foi classificada abaixo de um limiar de lançamento; eles se importam se ela funciona.

Para os clientes, isso argumenta a favor de fazer perguntas diretas aos fornecedores: Como vocês decidem o que justifica uma correção fora do ciclo regular? Com que rapidez vocês notificam os clientes sobre problemas encontrados internamente? O que acontece quando um bug parcialmente compreendido é posteriormente descoberto como explorável? As respostas a essas perguntas dizem mais sobre confiança do que uma página de marketing.

O que isso significa para você

Se você é um indivíduo que usa uma VPN de um empregador ou escola que depende do Connect Secure, você não pode aplicar o patch no gateway sozinho, mas pode agir. Pergunte à sua equipe de TI se o appliance foi atualizado e use senhas fortes e exclusivas e autenticação multifator em qualquer conta que o acesse. Se lhe pedirem para alterar uma senha, faça isso prontamente.

Se você administra o gateway, trate isso como um incentivo para revisar todo o seu inventário de borda, não apenas um produto. Qualquer dispositivo exposto à internet merece a mesma atenção quanto a versão, exposição e registro de logs.

Principais conclusões

O zero-day do Ivanti Connect Secure é um lembrete de que a janela entre a descoberta e a correção importa tanto quanto a própria falha. A Ivanti afirma ter encontrado parte do defeito em junho e julgado que estava abaixo do limiar para lançamento fora do ciclo regular; os atacantes então chegaram lá primeiro.

Se você administra ou depende de gateways Ivanti, verifique sua versão hoje, aplique os patches e mitigações mais recentes e continue acompanhando os avisos de segurança da Ivanti conforme a situação evoluir. Para um contexto mais amplo sobre quem ataca dispositivos de borda e por quê, leia nosso relatório sobre as apreensões de ferramentas do Flax Typhoon.