Naar aanleiding van twee ontdekte zeroday-kwetsbaarheden in de Connect Secure zou Ivanti vanaf 22 januari patches verzenden naar klanten. Het gespreide schema loopt vertraging op.
Ivanti laat op zich wachten en komt zijn beloftes niet na. Het bedrijf zou vanaf 22 januari patches verspreiden, maar loopt nu al achter op het gespreide schema. De zero-day werd bijna drie weken geleden ontdekt door onderzoekers van Volexity en tastte reeds verschillende VPN’s van bedrijven aan. CISA roept bedrijven op om een inventaris in te dienen met alle geïnfecteerde apparaten.
Deadline gemist
Ivanti erkende haar gemiste deadline op vrijdagavond en werkte haar advies bij naar “de veiligheid en kwaliteit van elke [softwarepatch] release”. Aangezien het hier gaat over een gespreid schema met opeenvolgende patches, heeft de vertraging meteen ook invloed op al de andere patches. Het softwarebedrijf waarschuwde wel dat de patch-releases aan vertraging onderhevig zijn.
lees ook
Zeroday in Ivanti VPN actief uitgebuit – update
“We streven er nu naar om volgende week een patch uit te brengen voor Ivanti Connect Secure (versies 9.1R17x, 9.1R18x, 22.4R2x en 22.5R1.1), Ivanti Policy Secure (versies 9.1R17x, 9.1R18x en 22.5R1x) en ZTA versie 22.6R1x ”, aldus Ivanti.
CISA-richtlijnen
De cyberveiligheidsdienst CISA van de Amerikaanse overheid heeft strikte deadlines staan, die door het ontbreken van de oplossingen door Ivanti in het gedrang komen. De CISA-noodrichtlijn had een datum van 22 januari vastgesteld waarop federale agentschappen zouden starten met het implementeren van oplossingen.
De CISA-richtlijn verduidelijkt het risico en stelt dat wanneer twee kwetsbaarheden tegelijkertijd worden uitgebuit, ze ervoor kunnen zorgen dat hackers willekeurige opdrachten kunnen uitvoeren op een kwetsbaar product. Het agentschap heeft opgeroepen om gecompromitteerde producten te verwijderen uit netwerken en een rapport in te dienen bij CISA met een inventaris van geïnfecteerde apparaten. Hoe je vandaag tijdelijk het probleem kan oplossen in afwachting van een patch, lees je hier.