Ivanti ให้คำมั่นว่าจะยกเครื่องระบบรักษาความปลอดภัยในวันเดียวหลังจากมีการเปิดเผยช่องโหว่อีก 4 รายการ

Ivanti ให้คำมั่นว่าจะยกเครื่องระบบรักษาความปลอดภัยในวันเดียวหลังจากมีการเปิดเผยช่องโหว่อีก 4 รายการ

ประทับเวลา: 4 เมษายน 2024 5:43 น
Ivanti ให้คำมั่นว่าจะยกเครื่องความปลอดภัยในวันเดียวหลังจากที่มีช่องโหว่อีก 4 รายการที่เปิดเผย PlatoBlockchain Data Intelligence ค้นหาแนวตั้ง AI.

Jeff Abbott ซีอีโอของ Ivanti ในสัปดาห์นี้กล่าวว่าบริษัทของเขาจะปรับปรุงแนวทางปฏิบัติด้านความปลอดภัยอย่างสมบูรณ์ แม้ว่าผู้ขายจะเปิดเผยข้อบกพร่องชุดใหม่อีกชุดหนึ่งในผลิตภัณฑ์การเข้าถึงระยะไกล Ivanti Connect Secure และ Policy Secure ที่มีช่องโหว่

ในจดหมายเปิดผนึกถึงลูกค้า แอ๊บบอตให้คำมั่นสัญญากับการเปลี่ยนแปลงต่างๆ มากมายที่บริษัทจะทำในอีกไม่กี่เดือนข้างหน้า เพื่อเปลี่ยนแปลงรูปแบบการดำเนินงานด้านความปลอดภัย หลังจากมีการเปิดเผยข้อบกพร่องอย่างไม่หยุดยั้งตั้งแต่เดือนมกราคม การแก้ไขตามสัญญาประกอบด้วยการปรับปรุงกระบวนการด้านวิศวกรรม ความปลอดภัย และการจัดการช่องโหว่ของ Ivanti โดยสมบูรณ์ และการนำแนวคิดริเริ่มการออกแบบที่ปลอดภัยมาใช้ในการพัฒนาผลิตภัณฑ์

ยกเครื่องใหม่หมดจด

“เราได้ท้าทายตัวเองให้พิจารณาทุกขั้นตอนของกระบวนการของเราและทุกผลิตภัณฑ์อย่างมีวิจารณญาณ เพื่อให้มั่นใจถึงการปกป้องในระดับสูงสุดสำหรับลูกค้าของเรา” แอ๊บบอตกล่าว ในคำกล่าวของเขา- “เราได้เริ่มใช้การเรียนรู้จากเหตุการณ์ล่าสุดเพื่อปรับปรุงแนวทางปฏิบัติด้านวิศวกรรมและความปลอดภัยของเราในทันที”

ขั้นตอนเฉพาะบางขั้นตอนรวมถึงการฝังการรักษาความปลอดภัยลงในทุกขั้นตอนของวงจรการพัฒนาซอฟต์แวร์ และการรวมคุณสมบัติการแยกและการป้องกันการใช้ประโยชน์ใหม่ในผลิตภัณฑ์ของตน เพื่อลดผลกระทบที่อาจเกิดขึ้นจากช่องโหว่ของซอฟต์แวร์ บริษัทจะปรับปรุงกระบวนการค้นหาและจัดการช่องโหว่ภายใน และเพิ่มแรงจูงใจสำหรับนักล่าแมลงบุคคลที่สาม แอ๊บบอตกล่าว

นอกจากนี้ Ivanti จะจัดเตรียมทรัพยากรเพิ่มเติมให้กับลูกค้าสำหรับการค้นหาข้อมูลช่องโหว่และเอกสารที่เกี่ยวข้อง และมุ่งมั่นที่จะเปลี่ยนแปลงและแบ่งปันข้อมูลกับลูกค้ามากขึ้น เขากล่าวเสริม

คำมั่นสัญญาเหล่านี้จะช่วยหยุดยั้งได้มากเพียงใด ความไม่แยแสของลูกค้าที่เพิ่มขึ้น โดยที่ Ivanti ยังคงไม่ชัดเจนเนื่องจากประวัติด้านความปลอดภัยของบริษัทเมื่อเร็วๆ นี้ ในความเป็นจริง ความคิดเห็นของ Abbot เกิดขึ้นหนึ่งวันหลังจากที่ Ivanti เปิดเผย ข้อบกพร่องใหม่สี่ประการใน Connect Secure และ Policy Secure เทคโนโลยีเกตเวย์และแพทช์ที่ออกให้สำหรับแต่ละเทคโนโลยี

การเปิดเผยเป็นไปตามก เหตุการณ์ที่คล้ายกันเมื่อไม่ถึงสองสัปดาห์ก่อน ที่เกี่ยวข้องกับข้อบกพร่องสองประการใน Standalone Sentry ของ Ivanti และ Neuron สำหรับผลิตภัณฑ์ ITSM จนถึงขณะนี้ Ivanti ได้เปิดเผยช่องโหว่ทั้งหมด 11 รายการ รวมถึงช่องโหว่สี่รายการในสัปดาห์นี้ในเทคโนโลยีตั้งแต่วันที่ 1 มกราคม ช่องโหว่จำนวนมากเป็นข้อบกพร่องร้ายแรง อย่างน้อยสองรายการเป็นศูนย์วันในผลิตภัณฑ์การเข้าถึงระยะไกลของบริษัท ซึ่งผู้โจมตี รวมถึงผู้แสดงภัยคุกคามขั้นสูงแบบต่อเนื่องเช่น “แม่เหล็กก็อบลิน,” มี ถูกเอารัดเอาเปรียบในวงกว้าง- ความกังวลเกี่ยวกับศักยภาพของการละเมิดที่สำคัญจากข้อบกพร่องเหล่านี้ทำให้หน่วยงานรักษาความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานด้านความปลอดภัยทางไซเบอร์ของสหรัฐอเมริกา (CISA) ในเดือนมกราคมสั่งให้หน่วยงานพลเรือนของรัฐบาลกลางทั้งหมด ทำให้ระบบ Ivanti ออฟไลน์ และไม่เชื่อมต่ออุปกรณ์ใหม่จนกว่าจะได้รับการแก้ไขอย่างสมบูรณ์

เจค วิลเลียมส์ นักวิจัยด้านความปลอดภัยและคณาจารย์ด้านการวิจัยของ IANS กล่าวว่าการเปิดเผยช่องโหว่ทำให้เกิดคำถามร้ายแรงจากลูกค้าของ Ivanti “จากการสนทนาที่ผมมี โดยเฉพาะอย่างยิ่งกับลูกค้า Fortune 500 ผมคิดจริงๆ ว่ามันน้อยเกินไปหรือสายเกินไป” เขากล่าว “เวลาในการแสดงความมุ่งมั่นนี้ต่อสาธารณะเป็นเวลามากกว่าหนึ่งเดือนที่ผ่านมา” ไม่ต้องสงสัยเลยว่าปัญหาเกี่ยวกับอุปกรณ์ Ivanti VPN (เดิมเรียกว่า Pulse) กำลังทำให้ CISO ตั้งคำถามถึงความปลอดภัยของผลิตภัณฑ์อื่นๆ มากมายของ Ivanti เขากล่าว

ชุดใหม่ของแมลง 4 ตัว

ข้อบกพร่องใหม่สี่ประการที่ Ivanti เปิดเผยในสัปดาห์นี้รวมถึงช่องโหว่โอเวอร์โฟลว์ฮีปสองรายการในองค์ประกอบ IPSec ของ Connect Secure และ Policy Secure ซึ่งทั้งสองช่องโหว่นี้บริษัทระบุว่าเป็นความเสี่ยงที่มีความรุนแรงสูงสำหรับลูกค้า ช่องโหว่หนึ่งที่ถูกติดตามในชื่อ CVE-2024-21894 ช่วยให้ผู้โจมตีที่ไม่ได้รับการรับรองความถูกต้องสามารถเรียกใช้โค้ดที่กำหนดเองบนระบบที่ได้รับผลกระทบได้ อีกอันหนึ่งซึ่งกำหนดเป็น CVE-2024-22053 อนุญาตให้ผู้โจมตีระยะไกลที่ไม่ได้รับการรับรองความถูกต้องสามารถอ่านเนื้อหาจากหน่วยความจำระบบภายใต้เงื่อนไขบางประการได้ Ivanti อธิบายถึงช่องโหว่ทั้งสองแบบว่าอนุญาตให้ผู้โจมตีส่งคำขอที่ออกแบบมาเพื่อประสงค์ร้ายเพื่อกระตุ้นการปฏิเสธเงื่อนไขการให้บริการ

ข้อบกพร่องอีกสองประการ ได้แก่ CVE-2024-22052 และ CVE-2024-22023 เป็นช่องโหว่ระดับปานกลางสองช่องโหว่ที่ผู้โจมตีสามารถหาประโยชน์เพื่อทำให้เกิดเงื่อนไขการปฏิเสธการให้บริการบนระบบที่ได้รับผลกระทบ Ivanti กล่าวว่า ณ วันที่ 2 เมษายน บริษัทไม่ทราบว่ามีกิจกรรมการหาประโยชน์ใดๆ ในป่าที่มุ่งเป้าไปที่ช่องโหว่

การเปิดเผยข้อบกพร่องอย่างต่อเนื่องทำให้เกิดคำถามเกี่ยวกับความเสี่ยงที่ผลิตภัณฑ์ของ Ivanti ก่อให้เกิดลูกค้ามากกว่า 40,000 รายทั่วโลก โดยบางรายแสดงความไม่พอใจกับ ฟอรัมเช่น Reddit- เมื่อสองปีที่แล้ว ข่าวประชาสัมพันธ์ของ Ivanti อ้างว่าบริษัท 96 แห่งจาก Fortune 100 เป็นลูกค้า ในรุ่นล่าสุดจำนวนดังกล่าวได้ลดลงเกือบ 12% เหลือ 85 บริษัท แม้ว่าการเลิกจ้างอาจเกี่ยวข้องกับปัจจัยอื่นนอกเหนือจากความปลอดภัย แต่คู่แข่งของอิวานติบางคนก็เริ่มรู้สึกถึงโอกาสแล้ว ตัวอย่างเช่น Cisco ได้เริ่มต้นแล้ว เสนอสิ่งจูงใจ — รวมถึงการทดลองใช้ฟรี 90 วัน — เพื่อลองให้ลูกค้า Ivanti VPN ย้ายไปยังแพลตฟอร์ม Secure Access เพื่อให้พวกเขาสามารถ “ลดความเสี่ยง” จากผลิตภัณฑ์ของ Ivanti

Eric Parizo นักวิเคราะห์ของ Omdia กล่าวว่าอย่างน้อยความท้าทายบางประการของ Ivanti เกี่ยวข้องกับความจริงที่ว่ากลุ่มผลิตภัณฑ์ของบริษัทเป็นผลรวมของการเข้าซื้อกิจการในอดีตจำนวนมาก “ผลิตภัณฑ์ดั้งเดิมได้รับการพัฒนาในเวลาที่ต่างกันโดยบริษัทต่าง ๆ เพื่อวัตถุประสงค์ที่แตกต่างกันโดยใช้วิธีการที่แตกต่างกัน ซึ่งหมายความว่าคุณภาพของซอฟต์แวร์ โดยเฉพาะอย่างยิ่งในเรื่องความปลอดภัยของซอฟต์แวร์ อาจไม่สม่ำเสมออย่างมาก” เขากล่าว

 Parizo กล่าวว่าสิ่งที่ Ivanti กำลังทำอยู่ตอนนี้ด้วยความมุ่งมั่นที่จะปรับปรุงกระบวนการและขั้นตอนด้านความปลอดภัยโดยรวมถือเป็นก้าวไปในทิศทางที่ถูกต้อง “ฉันอยากเห็นผู้ขายชดใช้ค่าเสียหายให้กับลูกค้าสำหรับความเสียหายที่เกิดขึ้นโดยตรงจากช่องโหว่เหล่านี้ เนื่องจากจะช่วยฟื้นคืนความมั่นใจในการซื้อในอนาคต” เขากล่าว “บางทีข้อดีอย่างหนึ่งสำหรับ Ivanti ก็คือลูกค้าคุ้นเคยกับเหตุการณ์ประเภทนี้มาก โดยที่ผู้จำหน่ายด้านความปลอดภัยทางไซเบอร์ต้องทนทุกข์ทรมานกับเหตุการณ์ที่คล้ายกันนับไม่ถ้วนในช่วงไม่กี่ปีที่ผ่านมา ซึ่งลูกค้ามีแนวโน้มที่จะให้อภัยและลืมไป”

ประทับเวลา:

เพิ่มเติมจาก การอ่านที่มืด