Иванті: цепочка из трех zero-day в Connect Secure, два исправления уже вышли

Компания по кибербезопасности Volexity 13 октября раскрыла атаку, в которой злоумышленник объединил три zero-day уязвимости в Ivanti Connect Secure — VPN-устройстве, широко используемом для удаленного доступа в корпоративные сети. Цепочка эксплуатации позволяла выполнить команды с правами root без входа в систему. Это делает уязвимость особенно опасной: атакующему не нужны учетные данные, MFA или иные барьеры, достаточно доступа к уязвимому сервису.

Подробности

Volexity выявила и сообщила Ivanti о трех уязвимостях, объединенных в единую цепочку эксплуатации. Ivanti уже выпустила исправления для двух из них, однако патч для третьей уязвимости пока не готов. Вендор рекомендовал клиентам, использующим затронутые версии, «действовать немедленно». Поскольку речь идет о zero-day, на момент обнаружения атаки официальных исправлений не существовало, а значит, защита зависела от своевременного реагирования и дополнительных мер контроля. Volexity, которая первой обнаружила и передала информацию об уязвимостях Ivanti, отметила, что атака была нацелена именно на Connect Secure — решение класса VPN/secure access gateway. Такие устройства обычно находятся на периметре сети и являются привлекательной целью для злоумышленников: успешная эксплуатация открывает путь во внутреннюю инфраструктуру организации. Стоит подчеркнуть, что техника цепочки уязвимостей (chaining) усложняет защиту: даже если часть проблем закрыта, оставшаяся уязвимость может сохранять возможность эксплуатации. Это подчеркивает важность комплексного подхода к устранению всех звеньев цепочки, а не только отдельных CVE.

Что делать

- Если вы используете Ivanti Connect Secure, немедленно проверьте, относятся ли ваши версии к затронутым. Ivanti призывает клиентов на затронутых версиях действовать безотлагательно. - Установите доступные патчи для двух уже исправленных уязвимостей как можно скорее. - Следите за обновлениями Ivanti относительно исправления третьей уязвимости и применяйте его сразу после выпуска. - Ограничьте доступ к интерфейсам управления VPN-устройства, где это возможно, и усильте мониторинг подозрительной активности. - Проведите проверку систем на признаки компрометации, учитывая, что уязвимость позволяла выполнять команды с правами root без аутентификации. Итог: ситуация демонстрирует, что периметровые VPN-устройства остаются критичной точкой риска, а неполное закрытие цепочки уязвимостей оставляет окно для атакующих. До выпуска патча для третьей уязвимости организациям следует максимально усилить контроль и мониторинг.

Источник: The Hacker News