Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887): цепочка уязвимостей VPN, эксплуатируемая до выхода патчей

Публично раскрыта: 10 января 2024

10 января 2024 года Ivanti раскрыла две уязвимости в VPN-шлюзах Connect Secure (бывший Pulse Secure) и Policy Secure, которые уже эксплуатировались как уязвимости нулевого дня. Обход аутентификации в сочетании с внедрением команд позволял злоумышленнику без входа выполнять команды на устройстве. Исправления вышли лишь через несколько недель, поэтому первой защитой была временная настройка. CISA выпустило экстренную директиву.

Уроки

• Злоумышленники изменяли устройства и в ряде случаев пытались пережить обновления. Ivanti и CISA рекомендовали сброс к заводским настройкам перед установкой исправлений на затронутых устройствах, а также смену паролей, ключей и сертификатов, хранившихся на них.
• Встроенную проверку целостности можно было обмануть; требовались внешние проверки и анализ журналов.

Как защищать устройства удалённого доступа

1. Применяйте временные меры производителя в тот же день, если исправлений ещё нет.
2. Выносите журналы с устройства, чтобы их нельзя было стереть.
3. После взлома пересобирайте, а не просто обновляйте.
4. Планируйте замену устройств, которым постоянно нужны экстренные исправления.

Если взломаны сами ворота, их перестраивают, а не перекрашивают.

Источники: CISA ED 24-01, NVD CVE-2024-21887.

Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.

Все статьи