Il 4 agosto in un forum criminale di lingua russa è comparso un file che nessun responsabile IT vorrebbe vedere: dati di accesso e configurazioni di oltre 900 server VPN Pulse Secure appartenenti ad aziende di tutto il mondo, per l’esattezza 913 indirizzi IP unici.
Per ogni server ci sono l’indirizzo e la versione del firmware, le chiavi SSH, l’elenco degli utenti locali con l’hash della password e i dati degli account amministratore. E ci sono soprattutto gli ultimi accessi alla VPN, con nomi utente e password in chiaro, e cookie di sessione ancora utilizzabili. Con questo materiale un attaccante può entrare nella rete aziendale come un dipendente qualsiasi, oppure prendere il controllo della VPN stessa.
Tutti i server dell’elenco avevano lo stesso difetto: un firmware vulnerabile alla CVE-2019-11510, una falla che permette di leggere file arbitrari dall’apparato senza autenticazione, comprese le credenziali in cache. Pulse Secure l’ha corretta ad aprile 2019. Secondo un’azienda che monitora Internet, 677 di quegli indirizzi risultavano già vulnerabili nelle scansioni dell’anno scorso. Più di un anno senza che nessuno installasse l’aggiornamento.
Chi ha compilato l’elenco sembra aver raccolto i dati tra fine giugno e inizio luglio, scansionando Internet alla ricerca di apparati non aggiornati. Il forum in cui è comparso è frequentato da gruppi ransomware, che da mesi usano proprio le VPN vulnerabili come porta d’ingresso.
Se usi Pulse Connect Secure, verifica che il firmware sia successivo alle correzioni di aprile 2019 e aggiorna subito in caso contrario. Poi fai la parte che molti saltano. Se l’apparato è rimasto vulnerabile anche solo per un periodo, l’aggiornamento chiude la falla ma non annulla ciò che è già stato rubato: cambia le password di tutti gli utenti VPN e degli amministratori, rigenera le chiavi SSH e invalida le sessioni attive. Attiva l’autenticazione a più fattori, così una password rubata da sola non basta più. Infine controlla i log alla ricerca di connessioni da indirizzi o in orari insoliti nelle ultime settimane.
Una VPN serve a proteggere l’ingresso alla rete. Senza aggiornamenti, diventa l’ingresso.
