Vulnerabilidade zero-day do Ivanti Connect Secure explorada por atacantes (CVE-2025-0282)
Sensação de déjà vu? Isso aconteceu há um ano (e um mês depois disso).
Me desculpem, meus amigos, mas se vocês sobreviveram aos últimos 24 meses com Ivanti e ainda não planejam pelo menos substituí-lo, o que estão fazendo? Perdi a conta do número de vulnerabilidades críticas por trás dos produtos deles, é ridículo. Pelo lado positivo, ao contrário de janeiro passado, pelo menos desta vez eles não vão te deixar na mão por mais um mês esperando por um patch.
Comecei minha carreira apoiando a versão original do Connect Secure; o bom e velho Juniper Secure Access. Gostava daquela coisa, mas isso foi há 20 anos. Foi vendido duas vezes e vocês sabem que ainda é em sua maioria aquele código da Juniper de mais de 20 anos atrás. Produtos de acesso Zero Trust estão por toda parte hoje em dia, migre para outro e economize a dor de cabeça e a ameaça de comprometimento inevitável.
Jesus, o que o Ivanti está fazendo?
Tive uma reunião introdutória com a Ivanti no ano passado quando procurava uma solução de gerenciamento de endpoints, então estou feliz de não ter acabado escolhendo eles.
Não há razão para ter um dispositivo Ivanti neste momento. Quero dizer, depois de um ano atrás, na verdade, não havia razão também.
Boa sorte, estamos trocando nosso sistema Ivanti no próximo mês.
Eu diria que é estranho, mas não é. A versão para a qual eles dizem para atualizar não está disponível no centro de downloads. A última versão do centro de downloads é de outubro do ano passado. Então, isso me diz que eles ainda não disponibilizaram o cliente corrigido.
O blog Watchtowr é brutal, é como um Dia da Marmota com o produto ConnectSecure da Ivanti. 2024=2025
https://labs.watchtowr.com/do-secure-by-design-pledges-come-with-stickers-ivanti-connect-secure-rce-cve-2025-0282/
Desculpe, trabalho para o governo local e ainda usamos Ivanti, sem planos claros de substituição. Nós evoluímos lentamente, então, por favor, tenham paciência conosco enquanto usamos por mais 8 anos antes de abandonar por motivos de segurança.
Sim, não ter uma correção pronta no ano passado foi insano. Feliz que me livrei disso.
Agora estou muito cauteloso com VPN SSL.
A Ivanti, pelo menos no que diz respeito ao Connect Secure (mas provavelmente outros produtos também), é uma aquisição. Foi originalmente criado pela Juniper há mais de 20 anos, depois eles venderam para outra pessoa que por sua vez vendeu para a Ivanti. É apenas um investimento do qual eles estão tentando tirar dinheiro. Você sabe que eles gastam o mínimo necessário para suportar e investir o suficiente para construir alguns recursos novos, mas no seu núcleo é um dispositivo de borda da internet que foi criado quando a internet era um lugar muito diferente. Você não pode manter um produto tão antigo por tanto tempo sem esperar inúmeras vulnerabilidades graves, mas também sabe que eles não querem investir em reconstruí-lo de forma segura, então simplesmente continuam colocando ataduras até ele desmoronar porque os clientes foram embora.
Entendo você. Se ajudar, encontrei substitutos que custam o mesmo ou menos que a Ivanti, então não é uma questão de orçamento. É só questão de tempo para encontrar um substituto e implementá-lo.
Na verdade, a ‘equivalente’ deles na nuvem foi construída do zero. Eles não querem investir o dinheiro necessário para consertar a versão legada local.
Sim, todos os setores aqui usam sistemas diferentes. Alguns ainda usam Ivanti, outros usam SCCM, outros usam MECM, e outros usam o que encontrarem. É confuso. Mesmo os sistemas de ticketing, todos usam algo diferente. É um pesadelo confuso. Cara, tentar centralizar o departamento de TI ainda é um projeto que está ‘em andamento’ há quase uma década e foi abandonado de forma não oficial na metade do caminho.
Espero que isso explique por que não estamos usando outra coisa já. Orçamento é uma razão totalmente compreensível para mudar, mas ‘já temos tudo configurado e isso vai quebrar nossa automação’ é a desculpa usada para permanecer.
Bem, isso está manchado com a porcaria dos últimos dois anos.