Ivanti Connect Secure, kurumsal uzaktan erişim için yaygın kullanılan bir SSL-VPN çözümüdür ve 2024 başında açıklanan zafiyetler onu güvenlik gündeminin merkezine taşıdı. Bu açıkların ayırt edici yanı, tek bir kusur değil, birbirini tamamlayan iki kusurun bir arada sömürülmesiyle cihazın tümden ele geçirilebilmesiydi.

Ivanti Connect Secure zafiyetleri, bir kimlik doğrulama atlatma açığını bir komut enjeksiyonu açığıyla zincirleyerek VPN cihazında kimliksiz uzaktan kod çalıştırmayı mümkün kılan kusurlardır.

İki Açığın Birleşimi

Zincirin ilk halkası bir kimlik doğrulama atlatma kusurudur; saldırgan, hazırlanmış bir istekle normalde koruma altında olan yönetim uç noktalarına geçerli oturum olmadan ulaşır. İkinci halka bir komut enjeksiyonu açığıdır; bu erişim elde edildikten sonra cihaza gönderilen parametrelerin içine yerleştirilen sistem komutları çalıştırılır. İki açık ayrı ayrı sınırlı etkiye sahipken, art arda tetiklendiklerinde kimliksiz uzaktan kod çalıştırmaya varan tam bir sömürü oluştururlar.

Bu tür bir cihazın ele geçirilmesi, saldırgana yalnızca cihazın kendisini değil, arkasındaki tüm iç ağ trafiğini görme imkânı verir. VPN, tanımı gereği güvenilen bir geçiş noktası olduğu için burada tutunan bir saldırgan, ağ savunmasının en kritik katmanını içeriden aşmış olur.

Neden Öncelikli Hedef?

Sınır cihazları saldırganlar için çekicidir çünkü internete dönük dururlar, ayrıcalıklı bir konumdadırlar ve genellikle uç nokta koruma yazılımlarının kapsamı dışında kalırlar. Ivanti açıklarının bir kısmı düzeltme yayımlanmadan önce aktif olarak sömürüldü; bu da onları geçici bir sıfırıncı gün saldırısı penceresine yerleştirdi ve savunucuları resmi yama gelene kadar geçici azaltıcı önlemlerle idare etmeye zorladı.

İnternete bakan bu cihazların hangi sürümde çalıştığı ve hangi açığa maruz kaldığı, ancak dışarıdan yürütülen düzenli bir zafiyet tarama çalışmasıyla görülebilir; iç envanter kayıtları çoğu zaman güncel gerçeği yansıtmaz.

Savunma ve İyileştirme

Ivanti bu açıklar için hem geçici azaltma yapılandırmaları hem de kalıcı güncellemeler yayımladı; her ikisinin de gecikmeksizin uygulanması esastır ve olgun bir yama yönetimi süreci bu türden sınır cihazı yamalarını en yüksek önceliğe koymalıdır. Üretici ayrıca cihazın bütünlüğünü doğrulayan bir denetim aracı da sundu; sömürü şüphesi olan cihazlarda bu doğrulama çalıştırılmalıdır.

• Yama uygulanana kadar üreticinin yayımladığı geçici azaltma yapılandırmasını devreye alın
• Cihaz bütünlük doğrulama aracını çalıştırarak ele geçirme izlerini kontrol edin
• Yönetim arayüzüne dışarıdan erişimi kapatın
• Cihaz üzerindeki tüm oturumları ve kimlik bilgilerini sömürü şüphesinde sıfırlayın

Bir Connect Secure cihazının ele geçirildiği anlaşıldığında, yama tek başına yetmez; saldırgan cihaza kalıcı bir arka kapı bırakmış olabilir ve bu yama sonrası da yerinde kalır. Bu nedenle cihazın fabrika ayarlarına döndürülmesi, günlüklerin incelenmesi ve arkasındaki ağda yatay hareket olup olmadığının çıkarılması gerekir; bu tür sızmalarda uç nokta güvenliği verileri ile ağ kayıtlarını birleştiren Privia olay inceleme ve olay müdahalesi ekibi kapsamı netleştirir.