Contexte de l’avertissement
Le CISA (Cybersecurity and Infrastructure Security Agency) a publié une alerte officielle demandant aux organisations d’appliquer immédiatement les correctifs disponibles pour Ivanti Connect Secure. L’avertissement s’appuie sur les relevés de plusieurs honeypots qui ont enregistré 105 tentatives d’exploitation ciblant des vulnérabilités connues du produit. Aucun détail supplémentaire n’est fourni dans le communiqué public, notamment l’identifiant exact des CVE concernés ou les versions affectées. Cette absence de précision oblige les équipes de sécurité à considérer l’ensemble des versions déployées comme potentiellement vulnérables et à vérifier la présence de tout correctif publié par le fournisseur.
Mécanismes d’exploitation observés
Les honeypots ont capturé des flux d’attaque dirigés vers les points d’entrée du service VPN d’Ivanti Connect Secure, notamment les interfaces de gestion web et les tunnels SSL/TLS. Les tentatives exploitent typiquement des failles d’authentification ou d’injection de commandes, deux vecteurs récurrents sur les appliances de type remote access VPN. Même si le rapport ne cite pas de code d’exploitation, la fréquence (105 tentatives) indique une campagne automatisée, probablement orchestrée par des botnets spécialisés dans la recherche de remote code execution (RCE) ou d’authentication bypass. La concentration d’attaques sur les ports 443 et 8443 suggère que les acteurs ciblent la terminaison TLS et les modules de gestion de certificats, où des erreurs de configuration peuvent exposer des fonctions d’administration non protégées.
Recommandations de sécurisation
En l’absence de spécifications de version, la meilleure pratique consiste à appliquer tous les correctifs publiés par Ivanti depuis le dernier bulletin de sécurité, puis à vérifier la version du firmware installé sur chaque appliance. Il est recommandé de désactiver les interfaces de gestion accessibles depuis Internet, de restreindre l’accès aux adresses IP de confiance via des listes de contrôle (ACL) et d’activer l’authentification à facteurs multiples (MFA) pour les comptes administratifs. La surveillance du trafic VPN doit être renforcée : les journaux doivent être agrégés dans un SIEM capable de détecter les modèles de connexion anormaux, comme des tentatives répétées depuis la même source ou des requêtes HTTP inhabituelles sur les endpoints de gestion. Enfin, les organisations devraient tester leurs configurations avec des outils de scanner de vulnérabilité spécifiques aux appliances VPN afin de valider que les correctifs sont effectivement appliqués et que les vecteurs d’attaque connus sont neutralisés.
