Ivanti afirmă că a identificat o parte a defectului din spatele unui Ivanti Connect Secure zero-day recent exploatat, cu luni înainte ca atacatorii să îl folosească, dar a decis că problema nu îndeplinea criteriile pentru o lansare în afara ciclului normal. Potrivit relatării de la CyberScoop, compania a descoperit o porțiune a vulnerabilității în timpul verificărilor interne de securitate din iunie. Până când o corecție a devenit urgentă, atacatorii exploatau deja defectul în mediul real.

Această succesiune de evenimente este ceea ce face povestea notabilă. Este mai puțin despre o vulnerabilitate surpriză și mai mult despre o decizie care nu a rezistat în timp.

Ce a descoperit Ivanti în iunie și de ce a așteptat

Explicația Ivanti, așa cum este rezumată de CyberScoop, este restrânsă dar importantă. Verificările interne ale companiei au scos la iveală o parte a defectului în iunie. Ivanti a evaluat-o apoi conform criteriilor sale pentru o lansare în afara ciclului normal, adică o corecție livrată în afara ciclului obișnuit de actualizări programate, și a concluzionat că nu atingea acel prag.

În practică, furnizorii triază descoperirile după severitate, exploatabilitate și dovezi de abuz. Un defect care pare greu de accesat sau cu impact scăzut în sine așteaptă adesea următoarea actualizare regulată. Problema este că compania spune că a văzut doar o porțiune a defectului. O vedere parțială asupra unei vulnerabilități poate subestima cât de periculoasă este odată ce cineva găsește restul.

Materialul sursă furnizat aici nu detaliază natura tehnică completă a defectului, așa că merită să fim precauți cu privire la ce se știe și ce nu. Ce este raportat: data descoperirii, evaluarea internă și decizia de a nu grăbi o corecție.

Cum a devenit vulnerabilitatea un zero-day exploatat

O vulnerabilitate devine un zero-day atunci când atacatorii o exploatează înainte ca o corecție să existe. Aceasta este situația raportată pentru Connect Secure. Deoarece corecția nu fusese livrată, apărătorii nu aveau niciun remediu oficial când exploatarea activă a început.

Connect Secure este un gateway VPN implementat pe scară largă, iar acest lucru contează. Gateway-uri ca acesta se află la marginea unei rețele, sunt expuse internetului prin design și ocupă adesea o poziție privilegiată între utilizatorii externi și sistemele interne. O slăbiciune într-unul dintre ele este atractivă pentru atacatori deoarece un singur dispozitiv compromis poate oferi o cale de intrare fără a atinge laptopul sau căsuța de e-mail a unui angajat.

De asemenea, ajută să ne amintim cine tinde să vizeze această clasă de dispozitive. Relatarea noastră despre cum DOJ și FBI au confiscat instrumentele Flax Typhoon Microscan și FishHub arată că grupurile legate de stat investesc masiv în instrumente vizând infrastructura expusă internetului. Relatarea despre Ivanti nu atribuie această exploatare vreunui actor anume, așa că tratați acest lucru ca context, nu ca concluzie.

Ce ar trebui să verifice acum administratorii Connect Secure

Dacă organizația dumneavoastră rulează Connect Secure, acești pași sunt un punct de plecare rezonabil:

  • Confirmați versiunea. Verificați build-ul exact de software pe fiecare gateway, inclusiv unitățile de test și de failover care sunt ușor de uitat.
  • Citiți avizul actual Ivanti. Căutați patch-ul sau măsura interimară de atenuare legată de acest defect și aplicați-o cât mai repede permite procesul dumneavoastră de schimbare.
  • Folosiți orice instrumente de integritate integrate. Dacă Ivanti oferă un verificator de integritate pentru aparat, rulați-l și păstrați rezultatul pentru comparare ulterioară.
  • Examinați jurnalele pentru activitate neobișnuită. Căutați sesiuni administrative neașteptate, conturi noi, conexiuni de ieșire ciudate sau modificări de configurare pe care nu le-ați făcut.
  • Rotați acreditările acolo unde compromiterea este posibilă. Resetați parolele și secretele stocate pe sau folosite de gateway dacă găsiți semne de abuz. Expunerea acreditărilor este o problemă separată și comună; constatările SpyCloud despre utilitățile de apă expuse malware-ului infostealer sunt o reamintire a modului în care datele de autentificare furate pot amplifica riscul dispozitivelor de margine.
  • Limitați expunerea. Restrângeți interfețele de administrare astfel încât să nu fie accesibile din internetul deschis.

Dacă nu puteți aplica patch-ul imediat, urmați orice îndrumare de atenuare publicată de furnizor și monitorizați dispozitivul mai atent până când puteți.

Ce înseamnă politicile de patch ale furnizorilor pentru încrederea în VPN

Descoperirea din iunie ridică o întrebare legitimă despre modul în care furnizorii stabilesc pragul pentru corecțiile urgente. Patch-urile în afara ciclului normal sunt perturbatoare pentru clienți, așa că furnizorii nu vor să le emită pentru fiecare descoperire. Dar costul așteptării este dezechilibrat când produsul este un gateway de securitate care se află la perimetru.

Niciuna dintre laturile acestui compromis nu este nerezonabilă în sine. Lecția este că evaluarea internă de severitate a unui furnizor nu este același lucru cu riscul din lumea reală. Atacatorilor nu le pasă dacă un defect a fost clasificat sub un prag de lansare; lor le pasă dacă funcționează.

Pentru clienți, acest lucru pledează pentru adresarea de întrebări directe furnizorilor: Cum decideți ce justifică o corecție în afara ciclului normal? Cât de repede notificați clienții despre problemele descoperite intern? Ce se întâmplă când un defect înțeles parțial se dovedește ulterior exploatabil? Răspunsurile la aceste întrebări spun mai multe despre încredere decât o pagină de marketing.

Ce înseamnă asta pentru dumneavoastră

Dacă sunteți o persoană care folosește un VPN de la un angajator sau o școală care se bazează pe Connect Secure, nu puteți aplica patch-ul pe gateway singur, dar puteți acționa. Întrebați echipa IT dacă aparatul a fost actualizat și folosiți parole puternice și unice și autentificare multi-factor pe orice cont care interacționează cu el. Dacă vi se spune să schimbați o parolă, faceți-o prompt.

Dacă administrați gateway-ul, tratați acest lucru ca un imbold de a revizui întregul inventar de margine, nu doar un singur produs. Orice dispozitiv expus internetului merită aceeași atenție la versiune, expunere și jurnalizare.

Concluzii cheie

Ivanti Connect Secure zero-day este o reamintire că fereastra dintre descoperire și corecție contează la fel de mult ca defectul în sine. Ivanti afirmă că a găsit o parte a defectului în iunie și l-a evaluat ca fiind sub pragul pentru lansarea în afara ciclului normal; atacatorii au ajuns apoi la el primii.

Dacă administrați sau depindeți de gateway-uri Ivanti, verificați-vă versiunea astăzi, aplicați cele mai recente patch-uri și măsuri de atenuare și continuați să verificați avizele de securitate Ivanti pe măsură ce situația evoluează. Pentru context mai amplu despre cine vizează dispozitivele de margine și de ce, citiți raportul nostru despre confiscările de instrumente Flax Typhoon.