Nederlandse organisaties kwetsbaar door ongepatchte Ivanti-systemen
Nederland telt allerlei organisaties waarvan de Ivanti-systemen een actief aangevallen kwetsbaarheid bevatten. Dat laat The Shadowserver Foundation weten, die wereldwijd meer dan 5100 kwetsbare systemen telde. Daarvan bevinden zich er honderdveertig in Nederland. Ook de Duitse overheid slaat alarm en meldt dat er 240 kwetsbare Ivanti-systemen in het land actief zijn.
Via het beveiligingslek (CVE-2025-22457) in Ivanti Connect Secure, Pulse Connect Secure, Policy Secure en ZTA Gateways kan een ongeauthenticeerde aanvaller op afstand code op kwetsbare systemen uitvoeren en die compromitteren. Ivanti Connect Secure, eerder nog bekend als Pulse Connect Secure, is een vpn-oplossing waarmee gebruikers toegang tot het netwerk van hun organisatie kunnen krijgen. Pulse Connect Secure 9.1.x is sinds 31 december vorig jaar end-of-support en ontvangt geen updates meer.
De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.0. Het beveiligingslek werd op 11 februari met de release van Ivanti Connect Secure 22.7R2.6 verholpen, maar was in eerste instantie als een "product bug" geïdentificeerd. Het bestaan van de kwetsbaarheid werd op 3 april door Ivanti aangekondigd. Voor Pulse Connect Secure zijn geen updates beschikbaar.
The Shadowserver Foundation voerde een online scan uit naar kwetsbare Ivanti-systemen en telde 5113 ongepatchte instances. Daarvan bevinden zich er honderdveertig in Nederland en 244 in Duitsland. Het Bundesamt für Sicherheit in der Informationstechnik (BSI), onderdeel van het Duitse ministerie van Binnenlandse Zaken, laat weten dat een groot daarvan end-of-support is en geen patches zal ontvangen.
De Amerikaanse overheid geeft vanwege de aanvallen het advies aan organisaties die met software van Ivanti werken om een fabrieksreset uit te voeren. Voor alle instances van Ivanti Connect Secure die niet op 28 februari dit jaar waren gepatcht met versie 22.7R2.6 en voor alle instances van Pulse Connect Secure, Policy Secure, en ZTA Gateways adviseert het CISA voor de 'highest level of confidence' om een fabrieksreset uit te voeren, ongeacht of uit onderzoek blijkt dat het systeem is gecompromitteerd of niet.
Mandiant liet weten dat misbruik van de kwetsbaarheid zeker sinds halverwege maart plaatsvindt. Het securitybedrijf vermoedt dat de aanvaller de patch die op 11 februari uitkwam heeft onderzocht en zo een manier ontdekte om het lek voor remote code execution te gebruiken. Via de kwetsbaarheid installeren de aanvallers backdoors op vpn-servers.
(Ik zou verwachten dat hier dan ook formal verification word toegepast om het zo perfect mogelijk dicht te timmeren.)
Daarom maak ik me zorgen over de recente hacks/exploits die voor deze apparaten tevoorschijn zijn gekomen...
(Ik zou verwachten dat hier dan ook formal verification word toegepast om het zo perfect mogelijk dicht te timmeren.)
Daarom maak ik me zorgen over de recente hacks/exploits die voor deze apparaten tevoorschijn zijn gekomen...
Veel kleinere bedrijven hebben dit laten installeren door een IT bedrijf en hebben geen supportcontract (meer).
Zelf hebben ze de kennis vaak niet.
Helaas niet goed, maar wel de realiteit.
(Ik zou verwachten dat hier dan ook formal verification word toegepast om het zo perfect mogelijk dicht te timmeren.)
Formal verification zoals in de A1 definitie van het Orange Book ?
Nope, dat is zeker niet het geval voor de reguliere perimeter devices .
geen idee of er voor de "full function" versies nog een niche markt bestaat van vendors die wel bewijsbaar aan wat stevige criteria voldoen.
In de heel gelimiteerde functie klasse heb je "data diodes" , hardware dozen die heel goed garanderen dat er maar in 1 richting data doorheen gaat.
(niet helemaal zo simpel als je zou denken - trek de Rx fiber los - , want transport met NUL signalering/handshaking is toch een speciaal geval )
Daarom maak ik me zorgen over de recente hacks/exploits die voor deze apparaten tevoorschijn zijn gekomen...
Zijn er van oudsher wel geweest hoor.
(Ik zou verwachten dat hier dan ook formal verification word toegepast om het zo perfect mogelijk dicht te timmeren.)
Daarom maak ik me zorgen over de recente hacks/exploits die voor deze apparaten tevoorschijn zijn gekomen...
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Information Security Officer Operationele Techniek (ISO)
Heb jij kennis van procesautomatisering en interesse in security en informatiebeveiliging? Solliciteer dan op de functie van (aankomend) Information Security Officer bij Hoogheemraadschap Hollands Noorder-kwartier in Heerhugowaard. Als ISO Opera-tionele techniek draag jij bij aan de veiligheid van onze informatie en systemen.
Cybersecurity Trainer / Full Stack Developer
bij Certified Secure
Ben je toe aan een nieuwe nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
