CISA impose des mesures d’urgence face aux vulnérabilités d’Ivanti

Ce qui s’est passé

CISA a publié en janvier 2024 une directive d’urgence destinée aux organismes fédéraux utilisant Ivanti Connect Secure et Ivanti Policy Secure, face à des vulnérabilités activement exploitées par des attaquants.

L’alerte décrivait des risques tels que le vol d’identifiants, l’installation de webshells, la persistance dans les systèmes compromis et les déplacements latéraux vers d’autres parties du réseau, et imposait de déconnecter les équipements concernés jusqu’à l’application des mesures d’atténuation ou des correctifs disponibles.

Ce que cela signifie pour une entreprise de taille moyenne

Les équipements d’accès à distance, comme les VPN et les passerelles, constituent un point d’entrée particulièrement attractif car ils sont conçus pour être accessibles depuis l’extérieur du réseau. Une vulnérabilité sur ces équipements peut permettre de contourner une grande partie des défenses internes.

Le fait que la directive émane d’un organisme public souligne la gravité de la situation : il ne s’agissait pas d’une recommandation générale, mais d’un ordre de déconnexion immédiate tant que la sécurité n’était pas garantie.

Les points à vérifier

Face à des vulnérabilités critiques touchant des équipements d’accès à distance, il convient de vérifier :

• Quels équipements VPN, pare-feu ou d’accès à distance l’entreprise possède et quelle version de firmware ils utilisent.
• S’il existe une procédure permettant de déconnecter temporairement un équipement périmétrique sans priver les utilisateurs de leur accès.
• Si les avis de sécurité des fabricants de ces équipements sont régulièrement consultés.
• Si, après la découverte d’une vulnérabilité critique, des indices de compromission sont recherchés en complément de l’application du correctif.

Questions fréquentes

¿Pourquoi CISA a-t-elle ordonné de déconnecter les équipements plutôt que de simplement appliquer un correctif ?

Parce que les vulnérabilités permettaient des compromissions persistantes ; la seule application du correctif ne garantissait pas la suppression d’un accès dont l’attaquant pouvait déjà disposer.

¿Cela concernait-il uniquement les organismes publics des États-Unis ?

La directive était obligatoire pour les agences fédérales, mais les vulnérabilités concernaient toute organisation utilisant les mêmes produits, quel que soit le pays.

¿Comment une entreprise doit-elle réagir face à une alerte similaire ?

En appliquant immédiatement les mesures d’atténuation du fabricant, en recherchant des indices de compromission et, si nécessaire, en déconnectant l’équipement jusqu’à confirmation que sa remise en service ne présente aucun risque.