Zusammenfassung

  • Ivanti räumt im eigenen Wissensdatenbank-Artikel ein, der Integrity Checker Tool sei nur eine Momentaufnahme des aktuellen Appliance-Zustands und könne Aktivitäten eines Angreifers möglicherweise nicht erkennen, wenn die Appliance in einen sauberen Zustand zurückversetzt wurde; für Hardware empfiehlt das Unternehmen einen Werksreset vor dem Patch.
  • Die gemeinsame Warnung AA24-060B geht weiter: Angreifer können sowohl den internen als auch den externen Integrity Checker Tool täuschen, und die Laboruntersuchung der CISA ergab, dass Persistenz auf Root-Ebene trotz Werksresets möglich bleibt.

Das erste Zugeständnis steht im Betriebsdokument des Herstellers selbst, und es ist kein Schritt zurück, sondern zwei. Zu den unter CVE-2023-46805 und CVE-2024-21887 geführten Lücken in Gateways von Ivanti Connect Secure und Ivanti Policy Secure schreibt das Unternehmen: „We have seen evidence of threat actors attempting to manipulate Ivanti's internal integrity checker (ICT). Out of an abundance of caution, we are recommending that all customers run the external ICT.“ Auf Deutsch: Der Prüfer, der in der Appliance läuft, ist selbst zum Ziel geworden, und das relativ bessere Instrument ist nun ein zweites, von außen ausgeführtes (Wissensdatenbank-Artikel von Ivanti).

Das zweite Zugeständnis ist schärfer, weil es nicht davon handelt, was jemand dem Instrument antun kann, sondern davon, was das Instrument nicht kann: „The ICT is a snapshot of the current state of the appliance and cannot necessarily detect threat actor activity if they have returned the appliance to a clean state.“ Eine Momentaufnahme der Gegenwart bezeugt keine aufgeräumte Vergangenheit. Das Scan-Ergebnis als Aussage über die Geschichte der Maschine zu lesen statt über den Augenblick des Scans heißt, das Werkzeug falsch zu lesen — und der Hersteller hat diesen Fehler benannt, bevor ihn jemand gegen ihn wandte.

Der dritte Satz sollte eine Beschaffungsdebatte beenden: „Ivanti recommends as a best practice that all customers with a hardware appliance factory reset their appliance before applying the patch to prevent the threat actor from gaining upgrade persistence in your environment.“ Wer glaubt, Patch plus Scan genüge, fordert seine Kunden nicht auf, die Hardware zu löschen. Die Verordnung „erst zurücksetzen, dann patchen“ schreibt man genau dann, wenn man vermutet, dass eine Schicht berührt wurde, die die Prüfung nicht erreicht.

Die gemeinsame Warnung sagt dasselbe von der anderen Seite des Tisches, mit mehr Gewicht: „Of particular concern, the authoring organizations and industry partners have determined that cyber threat actors are able to deceive Ivanti's internal and external Integrity Checker Tool (ICT), resulting in a failure to detect compromise.“ Man beachte die Reichweite: intern und extern. Der Rückzug auf „das von außen“, den der Hersteller in seinem Artikel vorschlägt, passt vollständig in den Satz, in dem die Unterzeichner von Täuschung sprechen (gemeinsame Cybersicherheitswarnung AA24-060B).

Der folgende Satz schließt den Kreis: „In addition, CISA has conducted independent research in a lab environment validating that the Ivanti ICT is not sufficient to detect compromise and that a cyber threat actor may be able to gain root-level persistence despite issuing factory resets.“ Persistenz auf Root-Ebene bleibt möglich, auch nach dem Verfahren, das Ivanti weiterhin als bewährte Praxis bezeichnet. Hier widersprechen sich nicht zwei Parteien: Die Empfehlung des Herstellers lautet zurücksetzen vor dem Patch, der Befund der Warnung lautet, dass das Zurücksetzen nicht genügt. Das erste verneint das zweite nicht.

Schlimmer: Der Grund für die Reset-Empfehlung ist gerade die Einsicht, dass das Prüfergebnis nicht als Beweis taugt.

Die Chronologie verdient dieselbe Sorgfalt wie das Instrument. Nach der Archivseite des FedRAMP-Programms der General Services Administration (GSA) hat die Cybersecurity and Infrastructure Security Agency (CISA) im Department of Homeland Security (DHS) die Emergency Directive 24-01 am Freitag, 19. Januar 2024, erlassen und die Supplemental Direction v1 am Mittwoch, 31. Januar 2024; dieselbe Seite gibt an, die ergänzende Anweisung habe die required action 4 der Direktive ersetzt (ED 24-01 im FedRAMP-Archiv, Supplemental Direction v1). Der Wortlaut der Direktive selbst war nicht lesbar: Daten und die Ersetzung stammen aus dem Archiv, und die Archivseite zu ED 24-01 zeigt in der Überschrift den 18. Januar, während der Text den 19. Januar nennt — dieser Artikel folgt dem Text. Die offiziellen CISA-Seiten (ED 24-01, Supplemental Direction v1) waren nicht abrufbar. Was diese Instrumente angeordnet haben, behauptet dieser Text daher nicht; festgehalten werden die Daten und die Tatsache, dass required action 4 ersetzt wurde. Die gemeinsame Warnung wird mit ihrer Kennung AA24-060B zitiert, weil sich kein wörtliches Veröffentlichungsdatum bestätigen ließ. Der Herstellerartikel trägt wechselnde Versionskennungen; ein Veröffentlichungs- oder Revisionsdatum wird nicht behauptet.

Der Fehler liegt im Messen, nicht in der Aufmerksamkeit. Das Werkzeug läuft auf der Appliance und berichtet über deren eigenes Dateisystem. Wer diese Dateien bearbeiten, Zeitstempel setzen und die Laufzeitpartition neu einhängen kann, lässt das „nichts gefunden“ von genau der Umgebung erzeugen, die geprüft wird. Die praktische Kontrolle kann deshalb nur dort liegen: Der Anspruch auf einen sauberen Zustand darf nicht allein auf dem beanstandeten Instrument ruhen, und der Sanierungsnachweis soll nennen, was neu aufgebaut oder neu ausgerollt wurde, nicht was gescannt wurde.

Für einen Aufsichtsrat bleibt eine einzige Frage an den Lieferanten: Welchen Nachweis für einen sauberen Zustand gibt es, der nicht über das angezweifelte Instrument läuft?

Zahlen zu betroffenen Appliances, zu falsch-negativen Scans oder zu späteren Schritten einzelner Behörden enthält dieser Text nicht. Er hält fest, dass zwei Erstdokumente die Grenze des von ihnen selbst gelieferten Instruments mit eigenen Worten festgehalten haben — samt Datum. Ein Scan-Ergebnis ähnelt dem Foto eines Raums, aufgenommen von einer Kamera, die innen an der Wand dieses Raums verschraubt ist. Das Foto kann einwandfrei sein; was nicht darauf ist, entscheidet es nicht.