Krytyczne luki bezpieczeństwa wstrząsają Ivanti Sentry
Dwie krytyczne luki bezpieczeństwa w rozwiązaniu bramy VPN Sentry firmy Ivanti powodują znaczne zamieszanie w branży bezpieczeństwa IT. Podczas gdy amerykańska Cybersecurity and Infrastructure Security Agency (CISA) ostrzega przed aktywnymi atakami i wpisała te podatności do swojego katalogu znanych wykorzystywanych luk, sam Ivanti bagatelizuje sytuację zagrożenia.
Dotknięte luki bezpieczeństwa osiągają obie najwyższą możliwą ocenę ryzyka w systemie CVSS. CVE-2026-10520 otrzymuje wynik CVSS 10.0 i umożliwia napastnikom bez wcześniejszego logowania przemycanie poleceń do systemu operacyjnego i wykonywanie dowolnego kodu z uprawnieniami roota. Druga podatność CVE-2026-10523 z wynikiem CVSS 9.9 pozwala na obejście uwierzytelniania i tworzenie dowolnych kont administratorskich.
Dotknięte systemy i dostępne aktualizacje
Luki bezpieczeństwa dotyczą Ivanti Sentry w wersjach 10.5.1, 10.6.1, 10.7.0 i starszych. Przedsiębiorstwo udostępniło już poprawki: aktualizacje do wersji 10.5.2, 10.6.2 i 10.7.1 zamykają obie podatności.
Szczególnie problematyczny jest fakt, że publicznie dostępne są już exploity proof-of-concept. Badacze bezpieczeństwa IT z watchTowr Labs opublikowali działający exploit demonstrujący nadużycie obu luk. Znacznie obniża to próg wejścia dla potencjalnych napastników.
Sprzeczne oceny sytuacji zagrożenia
Podczas gdy kilka przedsiębiorstw bezpieczeństwa IT i CISA ostrzegają przed aktywnymi atakami, Ivanti trzyma się stanowiska, że żadne rzeczywiste ataki nie miały miejsca. W komunikacie bezpieczeństwa przedsiębiorstwa czytamy, że Ivanti nie wie o żadnych przypadkach nadużycia przed publikacją komunikatu. CISA miała wpisać lukę do katalogu KEV wyłącznie na podstawie prób ataku na honeypoty.
Ivanti argumentuje dalej, że nadużycie bardziej krytycznej luki CVE-2026-10520 wymaga dostępu do portu zarządzania 8443. Interfejsy zarządzania zasadniczo nie powinny być osiągalne przez internet, nawet jeśli honeypoty symulują takie błędne konfiguracje.
Pierwsze kompromitacje już potwierdzone
Ocena Ivanti jest jednak przypuszczalnie już nieaktualna. Shadowserver Foundation donosi na podstawie swoich skanów sieci o 19 podatnych instancjach, z których co najmniej dwie zostały już skompromitowane backdoorami. Badacze zakładają, że również pozostałe znalezione instancje padły w międzyczasie ofiarą napastników.
Rozwój ten podkreśla pilność sytuacji i przeczy bagatelizującemu przedstawieniu producenta. Badacze Rapid7 również ostrzegają przed prawdopodobnymi atakami, ponieważ w przeszłości kilka luk Sentry trafiło już do katalogu CISA nadużywanych podatności.
Równoległe zagrożenia w innych produktach Ivanti
Dodatkowo do problemów Sentry ujawniono kolejne luki bezpieczeństwa w Endpoint Manager Mobile firmy Ivanti. Uchodzą one za wysokie ryzyko i również wymagają szybkich działań zaradczych ze strony administratorów.
Zalecenia dla administratorów
Niezależnie od sprzecznych ocen aktualnej sytuacji zagrożenia administratorzy nie powinni dać się zwieść uspokajaniu. Dostępne aktualizacje należy zainstalować możliwie najszybciej, ponieważ podatności umożliwiają pełną kompromitację dotkniętych systemów.
Szczególnie ważne jest przy tym sprawdzenie konfiguracji sieci. Nawet jeśli Ivanti argumentuje, że interfejsy zarządzania nie powinny być osiągalne przez internet, rzeczywistość pokazuje, że takie błędne konfiguracje występują często. Organizacje powinny zatem:
- niezwłocznie zainstalować dostępne poprawki
- sprawdzić segmentację sieci i reguły zapory
- prowadzić monitoring podejrzanych aktywności
- regularnie przeprowadzać przeglądy bezpieczeństwa infrastruktury
Perspektywy i wnioski
Przypadek Ivanti Sentry uwidacznia wyzwania przy ocenie zagrożeń cyberbezpieczeństwa. Podczas gdy producenci często skłaniają się do bagatelizowania zagrożenia swoich produktów, praktyka pokazuje, że krytyczne podatności z publicznie dostępnymi exploitami są szybko wykorzystywane.
Rozbieżne oceny między CISA, niezależnymi badaczami bezpieczeństwa a producentem podkreślają znaczenie wielostronnego pozyskiwania informacji przy decyzjach dotyczących bezpieczeństwa. Administratorzy nie powinni polegać wyłącznie na wypowiedziach producentów, lecz uwzględniać także źródła zewnętrzne i threat intelligence.
Na przyszłość pozostaje poczekać, jak rozwinie się sytuacja i czy ujawnione zostaną kolejne kompromitacje. Potwierdzone już instalacje backdoorów pozostawiają jednak niewiele wątpliwości co do powagi zagrożenia.
