据安全公司 Rescana 的一份报告，一个针对 Ivanti Connect Secure VPN 设备的零日漏洞利用链已在野外被观察到。所报告的影响十分严重：未认证的攻击者可以实现 root 级别的远程代码执行并窃取凭据，即使设备已完全打好补丁也不例外。这起 Ivanti Connect Secure 零日漏洞利用事件提醒我们，位于网络边缘的 VPN 网关是攻击者所能选择的最有价值的目标之一。

我们只能部分获取源报告，因此本文坚持已确认的内容，避免对技术细节进行推测。在我们提供指导的地方，属于通用安全实践，而非厂商发布的指令。

为什么一台已完全打好补丁的 VPN 设备仍然被攻陷

“零日”这个词本身就解释了大部分问题。零日是指攻击者在修复程序存在之前就加以利用的漏洞，因此安装所有可用的更新并不能防范它。一台已完全打好补丁的设备只能防护那些已知并已修复的问题。

报告描述的是一个漏洞利用链，意味着若干弱点被串联在一起。链式利用在严重攻击中很常见，因为单个漏洞很少能凭自身获得完全控制权。一系列较小的缺陷组合起来，可以将攻击者从完全无访问权限一路推进到对设备的完全控制，且无需登录。

关于时间线的背景，vpn.social 已经报道过Ivanti 早前已知晓该漏洞的一部分。在那篇报道中，Ivanti 表示他们在攻击者利用该缺陷的数月前就发现了其中一部分，但判断它未达到进行带外发布的标准。这段历史很重要，因为它表明从厂商发现问题到客户获得修复之间可能存在多长的空窗期。

root 访问权限和凭据窃取对用户意味着什么

root 是基于 Linux 的系统上的最高权限级别。在 VPN 设备上拥有 root 权限的攻击者不受普通用户权限的限制。他们有可能读取或更改设备处理的任何内容、修改其配置，并运行自己的代码。

凭据窃取是影响普通用户最大的部分。VPN 设备处理员工、承包商和合作伙伴的登录。如果攻击者能够捕获这些凭据，损害可能远远超出该设备本身：

  • 被盗的用户名和密码可能被复用来访问内部系统、电子邮件和云服务。
  • 被攻陷的账户可能看起来像合法的远程工作者，这使得恶意活动更难被发现。
  • 即使设备本身已被清理，攻击者也可能通过被盗凭据维持访问权限。

如果你通过 Connect Secure 连接到工作场所，实际风险是你的登录信息可能在你自己没有任何过错的情况下被泄露。

如何检查你的 Connect Secure 设备是否暴露

如果你运行 Ivanti Connect Secure，在获得相反证据之前，应假定它是一个可能的目标。以下是一些合理的检查：

  1. 确认你的暴露情况。 查明该设备是否可从互联网访问，以及谁可以访问其管理界面。任何不需要公开的内容都不应公开。
  2. 关注 Ivanti 的安全公告。 厂商是官方修复、缓解措施和检测指导的权威来源，随着调查的继续，这些细节可能会发生变化。
  3. 使用厂商的完整性工具。 如果 Ivanti 为你的产品提供了完整性检查器或类似工具，请运行它。对干净的结果要保持一定程度的谨慎，因为 root 级别的攻击者可能篡改设备对自身的报告。
  4. 审查日志。 查找异常登录、意外的管理更改、异常的出站连接，以及在奇怪时段或来自陌生位置的认证活动。
  5. 询问你的安全团队或服务提供商。 如果你不是管理员，请直接询问他们是否已对该设备进行检查。

缓解措施：轮换凭据、监控和分层防御

由于补丁无法完全解决零日问题，防御必须分层进行。

  • 轮换凭据。 如果存在被攻陷的可能，请更改 VPN 用户、服务账户以及存储在该设备上或经过该设备的任何机密的密码。请在确保设备安全之后再执行此操作，否则新凭据也可能被捕获。
  • 强制实施多因素认证。 它限制了仅凭被盗密码所能做的事情，但如果攻击者控制了网关本身，它并非万全之策。
  • 对网络进行分段。 VPN 用户应只能访问他们需要的系统，这样被攻陷的账户或设备就无法自由移动。
  • 持续监控。 将设备日志发送到该设备无法更改的独立系统，并对异常情况发出警报。
  • 为重建做好准备。 如果你发现被攻陷的迹象，请遵循厂商关于重建设备的指导，而不是假定简单的清理就足够了。

这对你意味着什么

如果你是管理员，教训是补丁状态并不等同于安全。边缘设备需要监控、限制暴露和事件响应计划，而不仅仅是更新。如果你是在运行 Connect Secure 的组织中的 VPN 用户，你无法控制该设备，但你可以更改密码、在提供的情况下启用多因素认证，并报告任何异常情况，例如意外的登录提示或安全警报。

后续步骤

今天就审查你的 Ivanti Connect Secure 零日漏洞利用暴露情况：检查谁可以访问该设备，阅读最新的 Ivanti 指导，如果有任何被攻陷的迹象，请轮换凭据。关于披露和补丁时间线如何展开的背景，请阅读我们早前的报道Ivanti 在六月发现该漏洞但未发布修复。随着更多信息的出现，该漏洞利用链的细节可能会发生变化，因此请持续查看官方来源。