En zero-day-exploateringskedja som riktar sig mot Ivanti Connect Secure VPN-apparater har observerats i det vilda, enligt en rapport från säkerhetsföretaget Rescana. Den rapporterade effekten är allvarlig: oautentiserade angripare kan nå root-nivå av fjärrkodkörning och stjäla inloggningsuppgifter, även på apparater som är fullt patchade. Denna Ivanti Connect Secure zero-day-exploatering är en påminnelse om att en VPN-gateway som sitter i kanten av ett nätverk är ett av de mest värdefulla målen en angripare kan välja.

Källrapporten är bara delvis tillgänglig för oss, så den här artikeln håller sig till det som är bekräftat och undviker att spekulera om tekniska detaljer. Där vi ger vägledning är det allmän säkerhetspraxis snarare än instruktioner från leverantören.

Varför en fullt patchad VPN-apparat fortfarande komprometterades

Ordet "zero-day" förklarar det mesta. En zero-day är en brist som angripare utnyttjar innan en fix finns, så att installera alla tillgängliga uppdateringar skyddar inte mot den. En fullt patchad apparat är bara skyddad mot de problem som redan är kända och åtgärdade.

Rapporten beskriver en exploateringskedja, vilket innebär flera svagheter som länkats samman. Kedjor är vanliga i allvarliga attacker eftersom en enda bugg sällan ger full kontroll i sig själv. Tillsammans kan en serie mindre brister ta en angripare från ingen åtkomst alls till fullständig kontroll över enheten, utan att någon inloggning krävs.

För kontext kring tidpunkten har vpn.social redan rapporterat om Ivantis tidigare kännedom om en del av bristen. I den rapporteringen uppgav Ivanti att de upptäckte en del av defekten månader innan angripare utnyttjade den, men bedömde att den inte uppfyllde kraven för en out-of-band-utgåva. Den historiken är viktig eftersom den visar hur långt gapet kan vara mellan att en leverantör upptäcker ett problem och att kunder får en fix.

Vad root-åtkomst och stöld av inloggningsuppgifter innebär för användare

Root är den högsta privilegienivån på ett Linux-baserat system. En angripare med root på en VPN-apparat är inte begränsad till vad en vanlig användare kan göra. De kan potentiellt läsa eller ändra allt enheten hanterar, ändra dess konfiguration och köra sin egen kod.

Stöld av inloggningsuppgifter är den del som påverkar vanliga användare mest. En VPN-apparat hanterar inloggningar för anställda, entreprenörer och partners. Om en angripare kan fånga upp dessa inloggningsuppgifter kan skadorna sprida sig långt bortom apparaten:

  • Stulna användarnamn och lösenord kan återanvändas för att nå interna system, e-post och molntjänster.
  • Komprometterade konton kan se ut som legitima distansarbetare, vilket gör skadlig aktivitet svårare att upptäcka.
  • Angripare kan behålla åtkomst via stulna inloggningsuppgifter även efter att själva apparaten har rensats upp.

Om du ansluter till din arbetsplats via Connect Secure är den praktiska risken att dina inloggningsuppgifter kan exponeras utan att du gjort något fel.

Hur du kontrollerar om din Connect Secure-apparat är exponerad

Om du driver Ivanti Connect Secure bör du anta att den är ett möjligt mål tills du har bevis på motsatsen. Några rimliga kontroller:

  1. Bekräfta din exponering. Ta reda på om apparaten är nåbar från internet och vem som kan komma åt dess hanteringsgränssnitt. Allt som inte behöver vara offentligt bör inte vara det.
  2. Håll koll på Ivantis rådgivningar. Leverantören är den auktoritativa källan för officiella fixar, mildrande åtgärder och upptäcktvägledning, och dessa detaljer kan ändras i takt med att utredningen fortsätter.
  3. Använd leverantörens integritetsverktyg. Om Ivanti tillhandahåller en integritetskontroll eller liknande verktyg för din produkt bör du köra det. Behandla ett rent resultat med viss försiktighet, eftersom en angripare på root-nivå kan manipulera vad enheten rapporterar om sig själv.
  4. Granska loggar. Leta efter ovanliga inloggningar, oväntade administrativa ändringar, märkliga utgående anslutningar och autentiseringsaktivitet vid udda tider eller från okända platser.
  5. Fråga ditt säkerhetsteam eller din leverantör. Om du inte är administratör, fråga dem direkt om apparaten har kontrollerats.

Åtgärder för att mildra risken: rotera inloggningsuppgifter, övervaka och bygg lager av försvar

Eftersom en patch inte helt kan lösa ett zero-day-problem måste försvaret byggas i lager.

  • Rotera inloggningsuppgifter. Om kompromettering är möjlig, byt lösenord för VPN-användare, tjänstekonton och alla hemligheter som lagras på eller passerar genom apparaten. Gör detta efter att du har säkrat enheten, annars kan de nya inloggningsuppgifterna också fångas upp.
  • Tvinga fram multifaktorautentisering. Det begränsar vad enbart stulna lösenord kan åstadkomma, även om det inte är ett fullständigt svar om en angripare kontrollerar själva gatewayen.
  • Segmentera nätverket. VPN-användare bör bara nå de system de behöver, så att ett komprometterat konto eller en komprometterad enhet inte kan röra sig fritt.
  • Övervaka kontinuerligt. Skicka apparatens loggar till ett separat system som apparaten inte kan ändra, och larma vid avvikelser.
  • Planera för återuppbyggnad. Om du hittar tecken på kompromettering, följ leverantörens vägledning om att bygga om enheten istället för att anta att en enkel upprensning räcker.

Vad detta innebär för dig

Om du är administratör är lärdomen att patchstatus inte är samma sak som säkerhet. Edge-enheter behöver övervakning, begränsad exponering och en incidentplan, inte bara uppdateringar. Om du är VPN-användare på en organisation som kör Connect Secure kontrollerar du inte apparaten, men du kan byta lösenord, aktivera multifaktorautentisering där det erbjuds och rapportera allt märkligt, till exempel oväntade inloggningspromptar eller säkerhetsvarningar.

Nästa steg

Granska din exponering för Ivanti Connect Secure zero-day-exploatering idag: kontrollera vem som kan nå apparaten, läs den senaste vägledningen från Ivanti och rotera inloggningsuppgifter om det finns något tecken på kompromettering. För bakgrund om hur avslöjandet och patchningstidslinjen utvecklades, läs vår tidigare rapport om Ivanti som hittade bristen i juni utan att utfärda en fix. Detaljer om denna exploateringskedja kan ändras i takt med att mer information framkommer, så fortsätt kontrollera officiella källor.