La Comisión Europea, ENISA (la Agencia de Ciberseguridad de la UE), CERT-EU, Europol y la red de equipos nacionales de respuesta a incidentes de seguridad informática de la UE (red CSIRT) han estado siguiendo de cerca la explotación activa de vulnerabilidades en Ivanti Connect Secure e Ivanti. Productos de Policy Secure Gateway, soluciones comerciales de red privada virtual (VPN) anteriormente conocidas como Pulse Connect Secure.
Según informa ENISA, tras la divulgación inicial de dos vulnerabilidades a principios de enero, se divulgaron dos vulnerabilidades adicionales el 31 de enero de 2024, que afectan a todas las versiones compatibles de los productos Ivanti Connect Secure e Ivanti Policy Secure Gateway y “hacen posible que los atacantes ejecuten comandos en el sistema”, se explica en una nota de ENISA.
Ya a mediados de enero, agrega, se observó una “explotación más amplia de las vulnerabilidades inicialmente reveladas”, de acuerdo con la información que publica en su web.
Al tratarse de una situación en desarrollo, ENISA recomienda “encarecidamente” a todas las organizaciones que consulten periódicamente las orientaciones proporcionadas por los miembros de la red CSIRT y CERT-EU para obtener las últimas evaluaciones y consejos. Para obtener instrucciones detalladas sobre cómo completar el restablecimiento de fábrica recomendado, las organizaciones también pueden seguir las instrucciones detalladas del proveedor.
“Es crucial que las organizaciones respondan adecuadamente a los últimos desarrollos para poder reanudar sus actividades comerciales críticas”, subraya.
Los últimos avisos publicados por los miembros de la Red CSIRT se pueden encontrar en sus canales de comunicación oficiales pertinentes. Las organizaciones también pueden consultar las orientaciones proporcionadas por CERT-EU. ENISA mantiene una colección de asesoramiento en la dirección https://github.com/enisaeu/CNW/blob/main/advisories/2024/Multiple-Vulns-Ivanti-Secure-Gateways.md
Política de la UE
Las organizaciones deben ser además conscientes de que la Ley de Resiliencia Cibernética (CRA) de la UE, una vez en vigor, exigirá que los fabricantes de productos de hardware y software, incluidas las soluciones VPN, sigan principios de seguridad desde el diseño durante todo el ciclo de vida de dichos productos.
Esto incluye la corrección de vulnerabilidades sin demora. Dada su importancia, las soluciones VPN estarán sujetas a estrictos requisitos de evaluación de la conformidad.
