À la suite de la divulgation initiale de deux vulnérabilités au début du mois de janvier, deux vulnérabilités supplémentaires ont été divulguées le 31 janvier 2024, ce qui a une incidence sur toutes les versions soutenues des produits Ivanti Connect Secure et Ivanti Policy Secure Gateway et permet aux attacheurs d’exécuter des commandes sur le système. Une exploitation plus large des vulnérabilités initialement divulguées avait déjà été observée dès la mi-janvier.
Étant donné qu’il s’agit d’une situation en évolution, nous recommandons vivement à toutes les organisations de vérifier régulièrement les orientations fournies par les membres du réseau des CSIRT et la CERT-UE en vue de l’évaluation et des conseils les plus récents. Pour obtenir des instructions détaillées sur la manière de procéder à la réinitialisation de l’usine conseillée, les organisations peuvent également suivre les instructions détaillées du vendeur.
Il est essentiel que les organisations répondent de manière appropriée aux dernières évolutions afin de reprendre leurs activités commerciales essentielles.
Les derniers avis publiés par les membres du réseau des CSIRT sont disponibles dans leurs canaux de communication officiels pertinents. Les organisations peuvent également se référer aux orientations données par la CERT-UE, qui a été gérée par l’ENISA en tant que collection consultative.
L’ENISA et tous les acteurs concernés de l’UE continueront de surveiller cette menace afin de contribuer à l’appréciation globale de la situation au niveau de l’Union.
Politique de l’UE
Les organisations devraient en outre être conscientes du fait que la législation de l’UE sur la cyber-résilience (ANC), une fois en vigueur, exigera des fabricants de produits matériels et logiciels, y compris des solutions VPN, qu’ils respectent les principes de sécurité dès la conception tout au long du cycle de vie de ces produits. Il s’agit notamment de remédier aux vulnérabilités sans délai. Compte tenu de leur criticité, les solutions VPN seront soumises à des exigences strictes en matière d’évaluation de la conformité. Vous trouverez également de plus amples informations sur la stratégie et les politiques de cybersécurité de l’UE.
Ressources pour les actions d’atténuation :
- Suivre les instructions de recouvrement Ivanti
- Pour des informations techniques générales sur la vulnérabilité et des recommandations : Avis de sécurité 2024-004 — CERT-UE
- Pour en savoir plus sur la réponse à donner, veuillez vous référer à l’autorité nationale compétente : CSIRT par pays — Carte interactive
- Derniers avis publiés par les membres du réseau des CSIRT