Ivanti cho biết họ đã phát hiện một phần khiếm khuyết đằng sau Ivanti Connect Secure zero-day mới bị khai thác nhiều tháng trước khi kẻ tấn công sử dụng nó, nhưng quyết định rằng vấn đề không đáp ứng tiêu chuẩn để phát hành bản vá ngoài lịch trình. Theo báo cáo từ CyberScoop, công ty đã tìm thấy một phần của lỗ hổng trong các đợt kiểm tra an ninh nội bộ vào tháng 6. Đến khi việc vá trở nên cấp bách, kẻ tấn công đã khai thác lỗi này trong thực tế.

Chính trình tự đó khiến câu chuyện này đáng chú ý. Đây không hẳn là về một lỗ hổng bất ngờ, mà là về một quyết định phán đoán đã không đứng vững trước thời gian.

Những gì Ivanti phát hiện vào tháng 6 và lý do họ chờ đợi

Lời giải thích của Ivanti, như được CyberScoop tóm tắt, khá hẹp nhưng quan trọng. Các đợt kiểm tra nội bộ của công ty đã phát hiện một phần khiếm khuyết vào tháng 6. Ivanti sau đó đánh giá nó dựa trên các tiêu chí của mình cho một bản phát hành ngoài lịch trình, nghĩa là bản vá được phát hành ngoài chu kỳ cập nhật định kỳ thông thường, và kết luận rằng nó không đạt ngưỡng đó.

Trên thực tế, các nhà cung cấp phân loại các phát hiện theo mức độ nghiêm trọng, khả năng khai thác và bằng chứng bị lạm dụng. Một lỗi thoạt nhìn có vẻ khó tiếp cận hoặc ít tác động thường sẽ chờ đến bản cập nhật định kỳ tiếp theo. Vấn đề ở đây là công ty cho biết họ chỉ thấy một phần của khiếm khuyết. Một góc nhìn một phần về lỗ hổng có thể đánh giá thấp mức độ nguy hiểm của nó khi ai đó tìm ra phần còn lại.

Tài liệu nguồn được cung cấp ở đây không trình bày chi tiết đầy đủ bản chất kỹ thuật của lỗi, nên cần thận trọng về những gì được biết và không được biết. Những gì được báo cáo: ngày phát hiện, đánh giá nội bộ, và quyết định không gấp rút vá.

Lỗ hổng đã trở thành zero-day bị khai thác như thế nào

Một lỗ hổng trở thành zero-day khi kẻ tấn công khai thác nó trước khi bản vá tồn tại. Đó là tình huống được báo cáo đối với Connect Secure. Vì bản vá chưa được phát hành, những người phòng thủ không có biện pháp khắc phục chính thức khi việc khai thác tích cực bắt đầu.

Connect Secure là một cổng VPN được triển khai rộng rãi, và điều đó quan trọng. Những cổng như thế này nằm ở rìa mạng, đối diện với internet theo thiết kế, và thường giữ vị trí đặc quyền giữa người dùng bên ngoài và các hệ thống nội bộ. Một điểm yếu trong một trong số chúng rất hấp dẫn đối với kẻ tấn công vì một thiết bị bị xâm phạm duy nhất có thể mở ra cách xâm nhập mà không cần chạm vào laptop hay hộp thư của nhân viên.

Cũng nên nhớ ai thường nhắm đến loại thiết bị này. Bài viết của chúng tôi về cách DOJ và FBI thu giữ công cụ Flax Typhoon Microscan và FishHub cho thấy rằng các nhóm có liên hệ với nhà nước đầu tư mạnh vào công cụ nhắm đến hạ tầng đối diện internet. Báo cáo về Ivanti không quy kết việc khai thác này cho bất kỳ tác nhân cụ thể nào, nên hãy coi đó là bối cảnh chứ không phải kết luận.

Những gì quản trị viên Connect Secure nên kiểm tra ngay bây giờ

Nếu tổ chức của bạn vận hành Connect Secure, những bước sau là điểm khởi đầu hợp lý:

  • Xác nhận phiên bản của bạn. Kiểm tra bản dựng phần mềm chính xác trên mọi cổng, bao gồm cả các đơn vị thử nghiệm và dự phòng thường dễ bị bỏ quên.
  • Đọc khuyến cáo hiện tại của Ivanti. Tìm bản vá hoặc biện pháp giảm thiểu tạm thời liên quan đến lỗ hổng này, và áp dụng ngay khi quy trình thay đổi của bạn cho phép.
  • Sử dụng bất kỳ công cụ kiểm tra tính toàn vẹn tích hợp nào. Nếu Ivanti cung cấp công cụ kiểm tra tính toàn vẹn cho thiết bị, hãy chạy nó, và giữ lại kết quả để so sánh sau này.
  • Xem lại nhật ký để tìm hoạt động bất thường. Tìm các phiên quản trị bất ngờ, tài khoản mới, kết nối ra ngoài kỳ lạ, hoặc thay đổi cấu hình mà bạn không thực hiện.
  • Xoay vòng thông tin xác thực ở nơi có thể bị xâm phạm. Đặt lại mật khẩu và bí mật được lưu trữ trên hoặc được cổng sử dụng nếu bạn phát hiện dấu hiệu bị lạm dụng. Lộ thông tin xác thực là một vấn đề riêng, phổ biến; phát hiện của SpyCloud về các công ty nước bị phơi nhiễm với phần mềm độc hại đánh cắp thông tin là lời nhắc nhở về cách thông tin đăng nhập bị đánh cắp có thể làm trầm trọng thêm rủi ro từ thiết bị biên.
  • Hạn chế phơi nhiễm. Giới hạn các giao diện quản lý để chúng không thể truy cập từ internet mở.

Nếu bạn không thể vá ngay lập tức, hãy tuân theo bất kỳ hướng dẫn giảm thiểu nào mà nhà cung cấp đã công bố và giám sát thiết bị chặt chẽ hơn cho đến khi bạn có thể.

Chính sách vá của nhà cung cấp có ý nghĩa gì đối với niềm tin vào VPN

Phát hiện vào tháng 6 đặt ra một câu hỏi hợp lý về cách các nhà cung cấp đặt ngưỡng cho các bản vá khẩn cấp. Các bản vá ngoài lịch trình gây gián đoạn cho khách hàng, nên nhà cung cấp không muốn phát hành chúng cho mọi phát hiện. Nhưng chi phí của việc chờ đợi là không cân xứng khi sản phẩm là một cổng bảo mật nằm ở vành đai.

Cả hai phía của sự đánh đổi đó đều không vô lý về mặt hình thức. Bài học là xếp hạng mức độ nghiêm trọng nội bộ của nhà cung cấp không giống với rủi ro trong thế giới thực. Kẻ tấn công không quan tâm liệu một lỗ hổng có được phân loại dưới ngưỡng phát hành hay không; chúng quan tâm liệu nó có hoạt động không.

Đối với khách hàng, điều này lập luận cho việc đặt câu hỏi trực tiếp với nhà cung cấp: Bạn quyết định điều gì đáng có một bản vá ngoài lịch trình như thế nào? Bạn thông báo cho khách hàng về các vấn đề được phát hiện nội bộ nhanh đến mức nào? Điều gì xảy ra khi một lỗi được hiểu một phần sau đó được phát hiện là có thể khai thác? Câu trả lời cho những câu hỏi đó nói lên nhiều về niềm tin hơn là một trang tiếp thị.

Điều này có ý nghĩa gì với bạn

Nếu bạn là cá nhân sử dụng VPN từ một nhà tuyển dụng hoặc trường học dựa vào Connect Secure, bạn không thể tự vá cổng, nhưng bạn có thể hành động. Hỏi nhóm IT của bạn liệu thiết bị đã được cập nhật chưa, và sử dụng mật khẩu mạnh, duy nhất cùng xác thực đa yếu tố trên bất kỳ tài khoản nào liên quan đến nó. Nếu bạn được yêu cầu đổi mật khẩu, hãy làm ngay.

Nếu bạn vận hành cổng, hãy coi đây là lời nhắc để xem xét toàn bộ kiểm kê thiết bị biên của bạn, không chỉ một sản phẩm. Bất kỳ thiết bị đối diện internet nào cũng xứng đáng được chú ý tương tự về phiên bản, phơi nhiễm và ghi nhật ký.

Những điểm chính

Ivanti Connect Secure zero-day là lời nhắc nhở rằng khoảng thời gian giữa phát hiện và vá quan trọng không kém gì bản thân lỗ hổng. Ivanti cho biết họ đã tìm thấy một phần khiếm khuyết vào tháng 6 và đánh giá nó dưới ngưỡng ngoài lịch trình; sau đó kẻ tấn công đã tiếp cận nó trước.

Nếu bạn vận hành hoặc phụ thuộc vào các cổng Ivanti, hãy xác nhận phiên bản của bạn ngay hôm nay, áp dụng các bản vá và biện pháp giảm thiểu mới nhất, và tiếp tục kiểm tra các khuyến cáo bảo mật của Ivanti khi tình hình phát triển. Để có bối cảnh rộng hơn về ai nhắm đến thiết bị biên và tại sao, hãy đọc báo cáo của chúng tôi về các vụ thu giữ công cụ Flax Typhoon.