Ivanti, Ivanti Connect Secure (SSL VPN çözümü) ve Ivanti Policy Secure'u (NAC çözümü) etkileyen yeni DoS güvenlik açıkları için yamalar yayınladı; bunlardan bazıları aynı zamanda rastgele kod çalıştırılmasına veya bilgilerin ifşa edilmesine de yol açabilir.
Ayrıca, saldırganların Ivanti Connect Secure'daki bir dizi sıfır günden yararlanmaya ve onlar için hafifletici önlemleri atlamaya başlamasından üç ay sonra, şirketin CEO'su güvenlik girişimlerini hızlandıracaklarını ve güvenlik uygulamalarını iyileştireceklerini duyurdu.
Yamalı güvenlik açıkları
Ivanti Connect Secure ve Ivanti Policy Secure'un desteklenen tüm sürümlerinde (9.x ve 22.x) dört güvenlik açığı keşfedildi ve bunlara yama uygulandı:
CVE-2024-21894 ve CVE-2024-22053 yığın taşması güvenlik açıklarıdır, CVE-2024-22052 bir boş işaretçi referansı güvenlik açığıdır ve CVE-2024-22023 bir XEE güvenlik açığıdır.
Dördü de, kimliği doğrulanmamış bir saldırganın hizmeti çökertmek veya kaynak tükenmesine neden olmak için özel hazırlanmış istekler göndermesiyle tetiklenebilir. Belirli koşullar karşılanırsa CVE-2024-21894 ve CVE-2024-22053, saldırganın bellekten kod veya içerik yürütmesine de olanak tanıyabilir.
Ivanti Salı günü yaptığı açıklamada, “Açıklama sırasında herhangi bir müşterinin bu güvenlik açıklarından yararlandığının farkında değiliz.” dedi. “Bu güvenlik açıkları bir müşteriye yönelik bir saldırıda kullanılırsa kutu çöker ve son kullanıcılara sunulan hizmet kesintiye uğrar.”
Şirket, kullanıcıları sağlanan yamaları uygulamaya ve sanal veya donanım cihazlarına yüklenen görüntüyü doğrulamak ve yeni ve/veya değiştirilmiş ikili dosyaların varlığını kontrol etmek için harici Bütünlük Denetleyicisi Aracının en son sürümünü indirip kullanmaya çağırdı.
“[The ICT] müşterilerimiz için ek bir güvenlik katmanıdır ve her zaman sürekli izleme araçlarıyla birlikte kullanılması amaçlanmaktadır,” diye belirtti şirket bu yılın başlarında saldırılarla uğraşırken.
Gelgiti durdurmak
Saldırganların kuruma özel güvenlik çözümlerinde/cihazlarında sıfır günleri istismar etme konusundaki artan odağı ışığında Ivanti, daha fazla kurumsal müşteri kaybetmemek için güvenlik oyunlarını akıllı bir şekilde geliştirmeye karar verdi.
Ivanti CEO'su Jeff Abbott, “Mevcut duruma iyi hazırlıklı olduğumuzdan emin olmak için kendi duruşumuza ve süreçlerimize çok yakından bakıyoruz” diyor.
“Kendi mühendislik ve güvenlik uygulamalarımızda anında iyileştirmeler yapmak için son olaylardan öğrendiklerimizi uygulamaya başladık.”
Şirket, ürünlerinin güvenliğini aşağıdaki yollarla geliştirmeyi amaçlamaktadır:
- Tehdit modelleme alıştırmalarının yardımıyla “tasarım gereği güvenli” ilkelerini benimsemek
- Ağ güvenliği ürünlerinde izolasyon ve kötüye kullanıma karşı koruma teknolojilerinin modernleştirilmesi ve uygulanması
- Kullanıma hazır, güvenli ve Ivanti tarafından yönetilebilen, izlenebilen ve güvence altına alınabilen çözümler sunmak
- Ürün güvenliği konusunda çalışan kişi sayısının arttırılması
Abbott, aynı zamanda güvenlik açığı keşfi ve güvenlik açığı iyileştirme çabaları çabalarını da artıracaklarını ve müşterilere (tamamen şirket içi çözüme ihtiyaç duyanlar dahil) yönelik desteğin iyileştirilmesi ve toplulukla bilgi paylaşımı üzerinde çalışacaklarını söyledi.
Zaten plan da bu; şimdi bunun ne kadar hızlı ve ne kadar kapsamlı bir şekilde uygulamaya konulacağını zaman gösterecek.