Vulnérabilité du VPN Ivanti : Ce que vous devez savoir
Des pirates informatiques parrainés par l'État chinois ont ciblé des vulnérabilités récemment annoncées dans les produits VPN Ivanti, les passerelles Ivanti Connect Secure (anciennement Pulse Secure) et Ivanti Policy Secure. Ces vulnérabilités sont signalées sous les noms de CVE-2023-46805, CVE-2024-21887, CVE-2024-21888 et CVE-2024-21893.
Utilisées conjointement, ces vulnérabilités peuvent permettre le contournement d'une authentification non autorisée et l'exécution de commandes à distance. Ivanti a publié des correctifs pour ces vulnérabilités pour les versions les plus utilisées de ses produits, mais la société n'a pas encore publié de correctifs pour toutes les versions vulnérables de ses produits. Il en résulte un risque accru d'élévation des privilèges et de falsification des requêtes côté serveur pour les personnes qui ne sont pas encore en mesure d'appliquer un correctif.
Mesures de sécurité et recommandations d'Ivanti
Unit 42® conseille d'appliquer immédiatement les correctifs pour ces vulnérabilités dès qu'ils sont disponibles et d'adopter une attitude proactive en réinitialisant les systèmes avant d'appliquer les correctifs afin de garantir l'intégrité de l'environnement. En réponse aux vulnérabilités récemment découvertes, nous nous faisons l'écho de la recommandation de la CISA de déconnecter du réseau les solutions compromises et soulignons l'importance d'appliquer avec diligence les correctifs disponibles ou à venir.
Dans le dernier segment du podcast Threat Vector, les experts en cybersécurité de l'Unit 42, Sam Rubin, vice-président et responsable mondial des opérations, et Ingrid Parker, directrice principale de l'Intel Response Unit, se plongent dans les vulnérabilités critiques découvertes dans les produits Connect Secure et Policy Security d'Ivanti. Ils étudient l'impact potentiel des vulnérabilités, l'urgence des mesures d'atténuation et les stratégies de défense.
Unit 42 Cas de réponse à un incident
Les campagnes d'exploitation des vulnérabilités CVE-2023-46805 et CVE-2024-21887 d'Ivanti se sont déroulées en trois vagues distinctes.
La première vague a duré au moins de la deuxième semaine de décembre 2023 au 10 janvier 2024, date à laquelle Volexity a publié son premier article de blog sur le sujet. Les attaques menées dans le cadre de cette campagne étaient ciblées et comportaient plusieurs shells web personnalisés ainsi que des déplacements latéraux. L'Unit 42 a répondu à des menaces qui correspondaient probablement à cette vague de campagnes.
De manière similaire à l'activité évoquée dans l'article de blog de Volexity, nous avons observé l'acteur de la menace effectuer les activités suivantes :
- Archivage de fichiers dont NTDS.dit à l'aide de 7-Zip avant l'exfiltration
- Créez un vidage de la mémoire du processus LSASS à l'aide du gestionnaire des tâches de Windows (Taskmgr.exe).
- Déplacement latéral via le protocole de bureau à distance (RDP)
- Suppression des journaux
La deuxième vague a commencé après le premier billet de Volexity, le 10 janvier 2024. Cette vague a été marquée par le passage d'attaques ciblées à une exploitation massive par d'autres acteurs de la menace.
L'Unit 42 a répondu à des cas de menaces qui correspondaient probablement à cette vague de campagnes. L'activité menaçante était la même dans tous les cas.
L'acteur de la menace a déversé des données de configuration contenant des schémas, des paramètres, des noms et des identifiants des différents utilisateurs et comptes du réseau, mais n'a pas effectué de mouvements latéraux comme les incidents survenus lors de la première vague.
L'Unit 42 pense que les acteurs de la menace à l'origine de cette activité ont pu se concentrer sur une exploitation plus large afin de maximiser l'impact avant que les organisations ne puissent commencer à appliquer des correctifs et des mesures d'atténuation.
La troisième vague a commencé dès le 16 janvier 2024, lorsque des exploits de type "proof-of-concept" (PoC) ont été rendus publics. La publication de ces exploits conduit à une exploitation massive par une série d'acteurs aux motivations et aux degrés de sophistication variés, notamment des entités criminelles déployant à grande échelle des cryptomining et divers logiciels de surveillance et de gestion à distance (RMM).
L'Unit 42 a répondu à des menaces correspondant probablement à cette vague, émanant d'un acteur de la menace utilisant un exploit PoC accessible au public. Nous aidons actuellement nos clients à enquêter sur ces incidents.
Stratégies globales de défense d'Ivanati
La découverte de ces failles souligne la nécessité de mesures de sécurité vigilantes et de capacités de réaction rapide. Cela a mis en évidence des failles de sécurité critiques dans les technologies de réseaux privés virtuels (VPN) largement utilisées et exploitées par des acteurs de menace sophistiqués. Ces vulnérabilités permettent un accès et un contrôle non autorisés, ce qui présente des risques importants pour les réseaux des organisations.
Les stratégies suivantes sont essentielles pour maintenir un dispositif de sécurité solide face à l'évolution des cybermenaces et assurer la protection des informations sensibles et des infrastructures critiques :
- Faites l'inventaire de vos biens : Cataloguer tous les dispositifs, systèmes et logiciels du réseau.
- Choisissez les bons outils : Utilisez les outils d'analyse des vulnérabilités les mieux adaptés à la complexité et à l'échelle de votre environnement informatique.
- Recherchez les vulnérabilités : Exécutez régulièrement des analyses pour identifier les faiblesses de sécurité de vos systèmes.
- Analysez les résultats : Examinez attentivement les résultats de l'analyse pour classer les vulnérabilités par ordre de priorité en fonction de leur gravité et de leur impact potentiel.
- Remédier à la situation et appliquer des correctifs : Appliquer les correctifs ou les solutions de contournement nécessaires pour atténuer les vulnérabilités identifiées.
- Répétez et révisez : Surveillez et réévaluez votre dispositif de sécurité pour vous adapter aux nouvelles menaces.
Ne manquez pas de consulter notre rapport Ivanti sur les menaces émergentes :
Adopter une stratégie globale de cybersécurité
Il est essentiel de prendre des mesures significatives pour protéger votre réseau des cybermenaces potentielles. Pour protéger votre réseau, vous pouvez notamment dissimuler les applications et les réseaux privés virtuels (VPN) à la vue du public sur l'internet afin de les mettre à l'abri des attaquants. Vous devez également inspecter minutieusement tout le trafic entrant et sortant afin de neutraliser les menaces telles que les logiciels malveillants et les exploits de type "zero-day".
L'application du principe du moindre privilège à l'ensemble de votre réseau est une autre étape essentielle. Cela permet de s'assurer que les utilisateurs ne peuvent accéder qu'aux ressources nécessaires à leur rôle. Vous devez également renforcer les contrôles d'accès en utilisant une authentification multifactorielle robuste pour vérifier efficacement les identités des utilisateurs.
Il est également recommandé de connecter les utilisateurs directement aux applications plutôt qu'au réseau général. Cela permet de minimiser les dommages potentiels liés aux incidents de sécurité. L'utilisation d'une surveillance constante est également essentielle pour identifier et atténuer les menaces posées par des personnes initiées compromises ou des acteurs externes.
Pour protéger les données sensibles, une surveillance diligente et un cryptage doivent être appliqués à la fois en transit et au repos. L'utilisation de technologies de déception et la chasse aux menaces proactive peuvent aider à identifier et à neutraliser les menaces avant qu'elles ne causent des dommages.
En favorisant une culture de la sécurité au sein de votre organisation, vous pouvez également vous prémunir contre des vecteurs courants tels que le hameçonnage. L'évaluation régulière de vos mesures de sécurité par le biais d'évaluations et de simulations peut aider à identifier et à corriger les vulnérabilités.
Approche zéro confiance de Palo Alto Networks
En réponse à ces menaces, Palo Alto Networks met l'accent sur la criticité d'une architecture Zero Trust, offrant un accès sécurisé et segmenté aux applications sans les exposer aux menaces directes d'Internet. Nos solutions, notamment les politiques de segmentation et de prévention des menaces avancées, sont conçues pour minimiser la surface d'attaque, empêcher les accès non autorisés, et détecter et réagir aux menaces en temps réel.
10 questions et réponses FAQ sur la vulnérabilité d'Ivanti pour les professionnels de la sécurité des entreprises
