Ivanti заявляет, что обнаружила часть дефекта, стоящего за недавно эксплуатируемым zero-day в Ivanti Connect Secure, за месяцы до того, как злоумышленники воспользовались им, но решила, что проблема не соответствует критериям для внепланового выпуска. Согласно репортажу CyberScoop, компания обнаружила часть уязвимости во время внутренних проверок безопасности в июне. К моменту, когда исправление стало срочным, злоумышленники уже эксплуатировали баг в реальных условиях.

Именно эта последовательность делает историю примечательной. Речь меньше о неожиданной уязвимости и больше о решении, которое плохо выдержало проверку временем.

Что Ivanti обнаружила в июне и почему waited

Объяснение Ivanti, как его резюмирует CyberScoop, узкое, но важное. Собственные внутренние проверки компании выявили часть дефекта в июне. Затем Ivanti оценила его по своим критериям для внепланового выпуска, то есть патча, выпускаемого вне обычного запланированного цикла обновлений, и пришла к выводу, что он не дотягивает до этого порога.

На практике вендоры сортируют находки по серьёзности, эксплуатируемости и свидетельствам злоупотребления. Баг, который сам по себе кажется труднодостижимым или малозначительным, часто ждёт следующего регулярного обновления. Загвоздка в том, что, по словам компании, она видела лишь часть дефекта. Частичный взгляд на уязвимость может недооценить её опасность, как только кто-то найдёт остальное.

Приведённый здесь исходный материал не детализирует полную техническую природу бага, поэтому стоит быть осторожным в отношении того, что известно, а что нет. Что сообщается: дата обнаружения, внутренняя оценка и решение не торопиться с исправлением.

Как уязвимость стала эксплуатируемым zero-day

Уязвимость становится zero-day, когда злоумышленники эксплуатируют её до появления патча. Именно такова ситуация, о которой сообщается для Connect Secure. Поскольку исправление не было выпущено, у защитников не было официального средства remedy, когда началась активная эксплуатация.

Connect Secure — широко развёрнутый VPN-шлюз, и это важно. Подобные шлюзы находятся на периметре сети, по своей конструкции обращены в интернет и часто занимают привилегированное положение между внешними пользователями и внутренними системами. Слабость в одном из них привлекательна для злоумышленников, потому что одно скомпрометированное устройство может дать путь внутрь, не касаясь ноутбука или почтового ящика сотрудника.

Также полезно помнить, кто обычно атакует этот класс устройств. Наш материал о том, как Минюст и ФБР изъяли инструменты Flax Typhoon Microscan и FishHub, показывает, что связанные с государствами группы активно вкладываются в инструменты, нацеленные на интернет-инфраструктуру. В репортаже об Ivanti эта эксплуатация не приписывается какому-либо конкретному субъекту, поэтому воспринимайте это как контекст, а не как вывод.

Что администраторам Connect Secure следует проверить сейчас

Если ваша организация использует Connect Secure, эти шаги — разумная отправная точка:

  • Подтвердите свою версию. Проверьте точную сборку ПО на каждом шлюзе, включая тестовые и резервные устройства, о которых легко забыть.
  • Прочитайте текущий advisory Ivanti. Ищите патч или временную меру защиты, связанную с этой уязвимостью, и примените её, как только позволит ваш процесс изменений.
  • Используйте встроенные инструменты проверки целостности. Если Ivanti предоставляет проверку целостности для устройства, запустите её и сохраните вывод для последующего сравнения.
  • Просмотрите логи на предмет необычной активности. Ищите неожиданные административные сессии, новые учётные записи, странные исходящие соединения или изменения конфигурации, которых вы не делали.
  • Смените учётные данные там, где возможна компрометация. Сбросьте пароли и секреты, хранящиеся на шлюзе или используемые им, если найдёте признаки злоупотребления. Утечка учётных данных — отдельная, распространённая проблема; выводы SpyCloud о водоканалах, подверженных infostealer-вредоносам, напоминают о том, как украденные логины могут усугубить риск edge-устройств.
  • Ограничьте экспозицию. Ограничьте интерфейсы управления, чтобы они не были доступны из открытого интернета.

Если вы не можете пропатчить немедленно, следуйте любым рекомендациям по мерам защиты, опубликованным вендором, и наблюдайте за устройством внимательнее, пока не сможете.

Что политики патчей вендоров означают для доверия к VPN

Июньское обнаружение поднимает справедливый вопрос о том, как вендоры устанавливают порог для срочных исправлений. Внеплановые патчи разрушительны для клиентов, поэтому вендоры не хотят выпускать их по каждой находке. Но цена ожидания несимметрична, когда продукт — это шлюз безопасности, стоящий на периметре.

Ни одна из сторон этого компромисса не является неразумной на первый взгляд. Урок в том, что внутренняя оценка серьёзности вендором — не то же самое, что реальный риск. Злоумышленникам всё равно, была ли уязвимость классифицирована ниже порога выпуска; им важно, работает ли она.

Для клиентов это аргумент в пользу прямых вопросов вендорам: как вы решаете, что заслуживает внепланового исправления? Как быстро вы уведомляете клиентов о проблемах, найденных внутри? Что происходит, когда частично понятый баг позже оказывается эксплуатируемым? Ответы на эти вопросы говорят о доверии больше, чем маркетинговая страница.

Что это значит для вас

Если вы частное лицо и используете VPN от работодателя или учебного заведения, которое полагается на Connect Secure, вы не можете пропатчить шлюз самостоятельно, но можете действовать. Спросите свою ИТ-команду, обновлено ли устройство, и используйте надёжные уникальные пароли и многофакторную аутентификацию для любой учётной записи, связанной с ним. Если вам говорят сменить пароль, сделайте это promptly.

Если вы управляете шлюзом, воспринимайте это как повод пересмотреть весь ваш парк edge-устройств, а не только один продукт. Любое интернет-обращённое устройство заслуживает такого же внимания к версии, экспозиции и логированию.

Ключевые выводы

Zero-day в Ivanti Connect Secure — напоминание о том, что окно между обнаружением и исправлением имеет значение не меньше, чем сама уязвимость. Ivanti заявляет, что нашла часть дефекта в июне и сочла его ниже внепланового порога; затем злоумышленники добрались до него первыми.

Если вы используете шлюзы Ivanti или зависите от них, проверьте свою версию сегодня, примените последние патчи и меры защиты и продолжайте следить за security advisories Ivanti по мере развития ситуации. Для более широкого контекста о том, кто нацелен на edge-устройства и почему, читайте наш отчёт об изъятии инструментов Flax Typhoon.