איוונטי תיקנה חולשה בשערי הגישה מרחוק שלה, שמאפשרת לתוקף שאין לו חשבון להריץ קוד על ההתקן עצמו. הציון הוא 9.0, החולשה נכנסה לרשימת החולשות המנוצלות בפועל ביום שבו פורסמה הרשומה שלה, ולצידה פורסמו בפומבי ניתוח תקיפה מפורט וקוד שמממש אותה.

מה החולשה?

התקן כמו Connect Secure יושב בקצה הרשת ומקבל תעבורה מכל מי שמחליט לפנות אליו. הקוד שקורא את התעבורה הזאת עושה זאת לפני שהוא יודע מי בצד השני, וזה בדיוק החלק שבו באג הופך לדלת.

הבאג עצמו הוא גלישה במחסנית. פונקציה שקולטת נתונים מהרשת מכינה לעצמה שטח בגודל קבוע על המחסנית, האזור שבו נשמרים המשתנים המקומיים וגם נתוני הניהול של הקריאה הנוכחית. כשהנתונים שנכנסים ארוכים מהשטח שהוכן, הכתיבה ממשיכה מעבר לגבול ופוגעת בנתוני הניהול שיושבים בהמשך. משם תוקף יכול לכוון את המשך הריצה של התוכנית.

המשמעות של הרצת קוד בלי הזדהות כאן מעשית מאוד. שער גישה מרחוק חייב להיות נגיש מהאינטרנט, אחרת אין בו טעם, ולכן אי אפשר להחביא אותו מאחורי חומת אש כמו שרת פנימי. כל מי שמאתר את הכתובת יכול לנסות, וסריקה של טווחי כתובות שלמים היא פעולה זולה.

מי מושפע?

Ivanti Connect Secure בגרסאות שלפני 22.7R2.5, Ivanti Policy Secure בגרסאות שלפני 22.7R1.2, ושערי Ivanti Neurons for ZTA בגרסאות שלפני 22.7R2.3.

מדובר בציוד ארגוני שנמצא בישראל בארגונים גדולים ובגופים ציבוריים, לרוב ככניסה של עובדים לרשת מהבית. משתמש הקצה אינו מתקין אותו ואינו יכול לעדכן אותו, אבל הוא זה שמתחבר דרכו כל בוקר.

האם מנוצלת בפועל?

כן, ומהיום הראשון. הרשומה של החולשה פורסמה ב-8 בינואר 2025, ובאותו יום עצמו היא כבר נרשמה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, הרשימה שמרכזת חולשות שיש עליהן ראיות לניצול בשטח. הצמידות הזאת בין הפרסום לרישום אומרת שהניצול היה מוכר עוד לפני שהחולשה קיבלה מספר.

יש כאן שכבה נוספת. בין המקורות שהרשומה מפנה אליהם יש ניתוח של צוות מודיעין האיומים של גוגל, הדגמה של שלבי הניצול מצוות המחקר watchTowr, ומאגר קוד ציבורי שמממש את התקיפה. מי שלא עדכן אינו מתמודד עוד עם ידע ששמור לקבוצה אחת.

מה עושים?

עדכנו לגרסאות המתקנות: 22.7R2.5 ב-Connect Secure, 22.7R1.2 ב-Policy Secure ו-22.7R2.3 בשערי Neurons for ZTA. ההנחיות המלאות נמצאות בהודעת האבטחה של איוונטי.

הניחו שההתקן פגש תעבורה עוינת עוד לפני שעדכנתם. חפשו שינויי תצורה שאינכם מזהים, חשבונות שנוספו וחיבורים יוצאים חריגים מההתקן עצמו. הניתוח של גוגל מתאר את פעילות התוקפים סביב החולשה הזאת ומשמש בסיס טוב לבדיקה כזאת.

החליפו את פרטי האימות שעברו דרך ההתקן: סיסמאות מנהל, מפתחות וכל סוד שמאוחסן בתצורה שלו. התקן שנפרץ בשלב כלשהו מחזיק אצלו בדיוק את החומר שמאפשר להיכנס שוב בלי להזדקק לחולשה.