Ivanti zakrpio ostatak lanca kojim napadači preuzimaju njegove VPN uređaje
Ivanti je zakrpio i preostala dva propusta iz lanca kojim napadači od početka oktobra preuzimaju njegove VPN uređaje Connect Secure. To znači da oktobarska zakrpa nije bila dovoljna, i da je uređaj ažuriran tada i dalje ranjiv. Connect Secure stoji na granici mreže i kroz njega zaposleni sa udaljenih lokacija ulaze u firmu. Lanac smo opisali pre tri nedelje: napadač, koga firma Volexity označava kao UTA0576, spaja tri propusta i preuzima potpunu kontrolu nad uređajem, bez naloga i bez ikakve greške korisnika. Ivanti je 13. oktobra zakrpio prvu kariku, zaobilaženje prijave, jer je ona glavni ulaz. Ostale dve, dizanje privilegija i postavljanje fajlova na uređaj, čekale su do 29. oktobra. Ivanti objašnjava da nije hteo da odlaže zaštitu od glavnog puta napada dok se spremaju ostale ispravke. Prvi znaci napada, prema firmi Defused, vide se od 1. oktobra. Napadač na uređaju ne ostavlja nikakav program, nego za svaku komandu ponovo otvara vrata i briše tragove iz logova, pa Ivantijev alat za proveru takav upad verovatno neće otkriti. Posle upada napadač je krao lozinke za mrežu firme i tražio ključeve za otključavanje šifrovanih diskova. Volexity sa srednjom pouzdanošću procenjuje da je napadač za razvoj napada koristio velike jezičke modele. CISA je oba nova propusta 30. oktobra uvrstila na listu aktivno zloupotrebljenih, a saveznim agencijama za jedan od njih naložila i forenzičku proveru. Shadowserver vidi više od 5.000 ovakvih uređaja izloženih na internetu.
Ivanti je ovde postupio pošteno: zakrpio je najopasniji deo čim je mogao i otvoreno rekao da ostatak stiže. Ali krpljenje u fazama ima cenu koju plaćaju administratori. Ko je sredinom oktobra ažurirao uređaj i precrtao posao sa spiska, ostavio je dve karike lanca otvorene još dve nedelje. Važnije je nešto drugo. Zakrpa sprečava nov upad, ali ne izbacuje napadača koji je već prošao i ne poništava ono što je odneo. Lozinke i ključevi ukradeni u oktobru rade i danas, a alat koji bi trebalo da otkrije upad ovde ga verovatno ne vidi. Zato za uređaje koji su tokom oktobra bili izloženi internetu pitanje više nije da li su zakrpljeni, nego šta je u međuvremenu prošlo kroz njih. Za tri nedelje, koliko ima od našeg prvog teksta, Ivanti je na CISA listi aktivno zloupotrebljenih propusta sa 36 stigao do 38. Zakrpa zatvara vrata, ali ukradeni ključevi i dalje otključavaju.
- Proveri verziju Connect Secure: ranjive su 22.8R2.5, 25.1.1.2, 25.1.2.2 i starije; ažuriraj na 22.8R2.6 ili 25.1.1.3, a sa grane 22.8 planiraj prelazak na 25.1, kako Ivanti preporučuje
- Ako je uređaj u oktobru bio dostupan sa interneta, tretiraj ga kao moguće kompromitovan i pre restarta sačuvaj memoriju i logove; čist rezultat Integrity Checker Tool-a ovde ne dokazuje ništa
- Promeni lozinku LDAP servisnog naloga koji uređaj koristi, LAPS lozinke i BitLocker ključeve za oporavak (CVE-2026-104935, CVE-2026-111357, CVE-2026-118527)
- Pretraži logove na adresu 108.165.147[.]64 i na neuobičajene pokušaje prijave sa VPN uređaja ka domenu, pogađanje lozinki i Kerberos zahteve
- Posle prve hitne zakrpe ne zatvaraj slučaj: prati savete za ranjivost dok proizvođač ne potvrdi da je ceo lanac zakrpljen