Ivanti заявляє, що помітила частину дефекту, що стоїть за нововиявленим експлойтом Ivanti Connect Secure zero-day, за місяці до того, як зловмисники його використали, але вирішила, що проблема не відповідає критеріям для позапланового випуску. Згідно з повідомленням CyberScoop, компанія виявила частину вади під час внутрішніх перевірок безпеки в червні. На той момент, коли виправлення стало нагальним, зловмисники вже експлуатували цю вразливість у реальних умовах.

Саме ця послідовність робить цю історію примітною. Вона менше стосується несподіваної вразливості й більше — рішення, яке не витримало перевірку часом.

Що Ivanti виявила в червні й чому зволікала

Пояснення Ivanti, у викладі CyberScoop, є вузьким, але важливим. Власні внутрішні перевірки компанії виявили частину дефекту в червні. Потім Ivanti оцінила його відповідно до своїх критеріїв для позапланового випуску, тобто патча, що випускається поза звичайним запланованим циклом оновлень, і дійшла висновку, що він не досягає цього порогу.

На практиці постачальники сортують знахідки за ступенем критичності, можливістю експлуатації та доказами зловживання. Вада, яка сама по собі виглядає важкодоступною або малозначущою, зазвичай чекає на наступне регулярне оновлення. Підступ у тому, що компанія каже, ніби бачила лише частину дефекту. Частковий погляд на ваду може применшити її небезпечність, коли хтось знайде решту.

Наведене тут джерело не деталізує повну технічну природу цієї вади, тож варто бути обережними щодо того, що відомо, а що ні. Що повідомляється: дата виявлення, внутрішня оцінка та рішення не поспішати з виправленням.

Як вада стала експлуатованим zero-day

Вразливість стає zero-day, коли зловмисники експлуатують її до появи патча. Саме така ситуація повідомляється для Connect Secure. Оскільки виправлення не було випущено, захисники не мали офіційного засобу протидії, коли почалася активна експлуатація.

Connect Secure — це широко розгорнутий VPN-шлюз, і це важливо. Такі шлюзи розташовані на периферії мережі, за задумом звернені до інтернету й часто займають привілейоване становище між зовнішніми користувачами та внутрішніми системами. Слабке місце в одному з них привабливе для зловмисників, адже один скомпрометований пристрій може відкрити шлях усередину, не торкаючись ноутбука чи поштової скриньки співробітника.

Також варто пам'ятати, хто зазвичай полює на цей клас пристроїв. Наш матеріал про те, як Мін'юст і ФБР вилучили інструменти Flax Typhoon Microscan і FishHub, показує, що пов'язані з державами угруповання вкладають значні ресурси в інструменти, націлені на інфраструктуру, доступну з інтернету. Повідомлення про Ivanti не приписує цю експлуатацію жодному конкретному суб'єкту, тож сприймайте це як контекст, а не як висновок.

Що адміністраторам Connect Secure варто перевірити зараз

Якщо ваша організація використовує Connect Secure, ці кроки — розумна відправна точка:

  • Підтвердьте свою версію. Перевірте точну збірку програмного забезпечення на кожному шлюзі, включно з тестовими та резервними пристроями, про які легко забути.
  • Прочитайте поточний бюлетень Ivanti. Знайдіть патч або тимчасове пом'якшення, пов'язане з цією вадою, і застосуйте його якомога швидше, наскільки дозволяє ваш процес внесення змін.
  • Скористайтеся будь-якими вбудованими інструментами перевірки цілісності. Якщо Ivanti надає перевірку цілісності для цього пристрою, запустіть її та збережіть результат для подальшого порівняння.
  • Перегляньте журнали на предмет незвичайної активності. Шукайте неочікувані адміністративні сесії, нові облікові записи, дивні вихідні з'єднання або зміни конфігурації, яких ви не робили.
  • Змініть облікові дані там, де можлива компрометація. Скиньте паролі та секрети, що зберігаються на шлюзі або використовуються ним, якщо виявите ознаки зловживання. Витік облікових даних — це окрема, поширена проблема; висновки SpyCloud про 1800 водоканалів, схильних до впливу зловмисного ПЗ для викрадення даних нагадують, як викрадені логіни можуть посилювати ризик для периферійних пристроїв.
  • Обмежте доступність. Обмежте інтерфейси управління так, щоб вони не були доступні з відкритого інтернету.

Якщо ви не можете виправити негайно, дотримуйтеся будь-яких рекомендацій щодо пом'якшення, опублікованих постачальником, і пильніше стежте за пристроєм, поки не зможете цього зробити.

Що політики випуску патчів постачальників означають для довіри до VPN

Червневе виявлення порушує справедливе питання про те, як постачальники встановлюють поріг для термінових виправлень. Позапланові патчі є руйнівними для клієнтів, тож постачальники не хочуть випускати їх для кожної знахідки. Але ціна очікування є нерівномірною, коли продукт — це шлюз безпеки, що стоїть на периметрі.

Жодна сторона цього компромісу не є нерозумною на перший погляд. Урок у тому, що внутрішня оцінка критичності постачальника не тотожна реальному ризику. Зловмисникам байдуже, чи було ваду класифіковано як нижчу за поріг випуску; їм важливо, чи вона працює.

Для клієнтів це аргумент на користь того, щоб ставити постачальникам прямі запитання: Як ви вирішуєте, що вимагає позапланового виправлення? Як швидко ви повідомляєте клієнтів про проблеми, виявлені внутрішньо? Що стається, коли частково зрозумілу ваду згодом визнають експлуатованою? Відповіді на ці запитання говорять про довіру більше, ніж маркетингова сторінка.

Що це означає для вас

Якщо ви приватна особа, яка користується VPN від роботодавця чи навчального закладу, що покладається на Connect Secure, ви не можете самостійно виправити шлюз, але ви можете діяти. Запитайте свою IT-команду, чи оновлено пристрій, і використовуйте надійні, унікальні паролі та багатофакторну автентифікацію для будь-якого облікового запису, що з ним пов'язаний. Якщо вам кажуть змінити пароль, зробіть це невідкладно.

Якщо ви керуєте шлюзом, сприймайте це як привід переглянути весь свій периферійний інвентар, а не лише один продукт. Будь-який пристрій, доступний з інтернету, заслуговує на таку саму увагу до версії, доступності та журналювання.

Ключові висновки

Ivanti Connect Secure zero-day нагадує, що вікно між виявленням і виправленням має не менше значення, ніж сама вада. Ivanti каже, що виявила частину дефекту в червні та оцінила його як нижче за поріг позапланового випуску; зловмисники потім дісталися до нього першими.

Якщо ви використовуєте шлюзи Ivanti або залежите від них, перевірте свою версію сьогодні, застосуйте останні патчі та пом'якшення й продовжуйте стежити за бюлетенями безпеки Ivanti в міру розвитку ситуації. Для ширшого контексту про те, хто націлюється на периферійні пристрої та чому, читайте наш звіт про вилучення інструментів Flax Typhoon.