Ivanti: a falha na VPN que abriu a porta de dentro da empresa

Em janeiro de 2024, o mundo ganhou a CVE-2024-21887, uma falha de bypass de autenticação no Ivanti Connect Secure, o appliance de VPN usado por organizações de todos os portes para dar acesso remoto a quem está fora da empresa. A falha permitia entrar sem senha, e, pior, a sessão criada dessa forma podia ser promovida a administrador.

O que tornou o caso tão grave não foi a falha em si, e sim o que veio depois. A Ivanti Daily zero day, e a exploração massiva de Devices de VPNFSI expostos, deu origem a uma campanha que instalava malware nos appliances comprometidos. E, como o acesso já era de administrador, a presença do malware passou meses sem ser notada por muitas organizações, mesmo com a correção do fabricante já publicada.

A consequência direta foi uma cadeia de incidentes de alto perfil, nos quais a entrada inicial tinha sido por esse appliance, e a movimentação lateral dentro da rede foi feita com credenciais e ferramentas internas. É a situação que o trabalho de segurança tenta evitar: um único dispositivo de borda, com privilégio alto, virando o ponto de entrada para tudo.

A lição é sobre o privilégio. Um appliance de VPN costuma ter acesso a rede interna como administrador, porque precisa alcançar servidores, bancos de dados e sistemas de gestão. A proteção de verdade não está em corrigir a falha, está em reduzir o que esse dispositivo pode fazer depois de compromise. Segmentação, privilégio mínimo e monitoramento de alterações na configuração do próprio appliance são as três camadas que teriam cortado a campanha.