Ivanti表示，在攻击者利用新近被利用的 Ivanti Connect Secure 零日漏洞 数月之前，它就已发现该缺陷的一部分，但认定该问题未达到进行带外发布的门槛。根据 CyberScoop 的报道，该公司在6月的内部安全检查中发现了该漏洞的一部分。等到修复变得紧迫时，攻击者已经在野外利用该漏洞。

正是这一时间顺序让此事值得关注。与其说这是一个出人意料的漏洞，不如说是一个后来被证明并不明智的判断。

Ivanti 在6月发现了什么，以及为何等待

根据 CyberScoop 的概述，Ivanti 的解释虽然范围有限，但很重要。该公司自己的内部检查在6月发现了该缺陷的一部分。随后，Ivanti 依据其带外发布标准——即在正常预定更新周期之外发布补丁——进行了评估，并得出结论认为它未达到该门槛。

在实践中，厂商会根据严重性、可利用性和滥用证据对发现的问题进行分级处理。一个单独来看似乎难以触及或影响较低的漏洞，往往会等到下一次常规更新。问题在于，该公司表示它只看到了该缺陷的一部分。对漏洞的片面了解，可能会低估其一旦被人发现其余部分后的危险性。

此处提供的源材料并未详述该漏洞的完整技术性质，因此对已知和未知内容保持谨慎是值得的。报道中提到的是：发现日期、内部评估，以及不仓促修复的决定。

该漏洞如何成为被利用的零日漏洞

当攻击者在补丁存在之前就利用某个漏洞时，该漏洞就成为零日漏洞。这正是 Connect Secure 被报道的情况。由于修复尚未发布，当活跃利用开始时，防御者没有官方补救措施。

Connect Secure 是一种广泛部署的 VPN 网关，这一点很重要。此类网关位于网络边缘，按设计面向互联网，并且通常处于外部用户与内部系统之间的特权位置。它们中的弱点对攻击者颇具吸引力，因为一台被攻陷的设备就可能提供一条进入途径，而无需触碰员工的笔记本电脑或收件箱。

同样值得记住的是，通常是哪些人会针对这类设备。我们关于 DOJ 和 FBI 查封 Flax Typhoon 工具 Microscan 和 FishHub 的报道显示，与国家有关联的组织会大量投入针对面向互联网基础设施的工具。关于 Ivanti 的报道并未将此次利用归因于任何特定行为者，因此应将其视为背景信息，而非结论。

Connect Secure 管理员现在应检查什么

如果你的组织运行 Connect Secure，以下步骤是合理的起点：

  • 确认你的版本。 检查每个网关上的确切软件版本，包括容易被遗忘的测试和故障转移设备。
  • 阅读当前的 Ivanti 公告。 查找与该漏洞相关的补丁或临时缓解措施，并在变更流程允许的情况下尽快应用。
  • 使用任何内置完整性工具。 如果 Ivanti 为该设备提供了完整性检查器，请运行它，并保留其输出以供日后比较。
  • 审查日志中的异常活动。 查找意外管理会话、新账户、异常出站连接，或并非由你进行的配置更改。
  • 在可能遭入侵的情况下轮换凭据。 如果发现滥用迹象，请重置网关上存储或使用的密码和密钥。凭据暴露是一个独立且常见的问题；SpyCloud 关于供水设施暴露于信息窃取恶意软件的发现 提醒人们，被盗登录信息会如何加剧边缘设备风险。
  • 限制暴露面。 限制管理接口，使其无法从开放互联网访问。

如果你无法立即打补丁，请遵循厂商已发布的任何缓解指导，并在此期间更密切地监控设备。

厂商补丁政策对 VPN 信任意味着什么

6月的发现提出了一个合理问题：厂商如何设定紧急修复的门槛。带外补丁会对客户造成干扰，因此厂商不愿对每一项发现都发布此类补丁。但当产品是位于边界的 security gateway 时，等待的代价是不对称的。

这种权衡的两面从表面上看都并非不合理。教训在于，厂商的内部严重性评级并不等同于现实世界风险。攻击者不在乎某个漏洞是否被归类为低于发布门槛；他们在乎的是它是否有效。

对客户而言，这支持了向厂商直接提问的理由：你如何决定什么值得带外修复？对于内部发现的问题，你多快通知客户？当一个仅被部分理解的漏洞后来被发现可被利用时，会发生什么？这些问题的答案比营销页面更能说明信任。

这对你意味着什么

如果你是使用雇主或学校提供的、依赖 Connect Secure 的 VPN 的个人，你无法自行给网关打补丁，但你可以采取行动。询问你的 IT 团队该设备是否已更新，并在任何与其相关的账户上使用强而唯一密码和多因素认证。如果有人要求你更改密码，请立即照做。

如果你负责运行该网关，请把这视为审查整个边缘资产清单的提醒，而不只是审查一个产品。任何面向互联网的设备都值得在版本、暴露面和日志方面获得同样的关注。

关键要点

Ivanti Connect Secure 零日漏洞提醒人们，从发现到修复之间的窗口与漏洞本身同样重要。Ivanti 表示它在6月发现了该缺陷的一部分，并判断其低于带外门槛；随后攻击者先一步利用了它。

如果你运行或依赖 Ivanti 网关，请今天就核实你的版本，应用最新补丁和缓解措施，并随着事态发展持续查看 Ivanti 的安全公告。若要了解谁以边缘设备为目标及其原因的更大背景，请阅读我们关于 Flax Typhoon 工具被查封 的报道。