Europol heeft alarm geslagen over actief misbruik van kwetsbaarheden in Ivanti Connect Secure VPN en roept organisaties op om advies van lokale cyberagentschappen of het Europees Agentschap voor cyberbeveiliging (ENISA) op te volgen, waaronder het uitvoeren van een fabrieksreset. Een derde zeroday in de VPN-oplossing wordt inmiddels op grote schaal aangevallen en de Amerikaanse overheid werd vorige week nog opgedragen om Ivanti-apparaten van het netwerk los te koppelen.

Ivanti Connect Secure, eerder nog bekend als Pulse Secure, is een vpn-oplossing waarmee gebruikers toegang tot het netwerk van hun organisatie kunnen krijgen. Op 10 januari meldde Ivanti dat het product twee kwetsbaarheden bevat, CVE-2023-46805 en CVE-2024-21887, waarvan aanvallers actief misbruik van maken om systemen over te nemen. Tijdens het onderzoek naar deze kwetsbaarheden en aanvallen werden twee nieuwe beveiligingslekken ontdekt, aangeduid als CVE-2024-21888 en CVE-2024-21893.

Deze laatste kwetsbaarheid maakt het mogelijk voor een ongeauthenticeerde aanvaller om toegang tot bepaalde 'restricted resources' te krijgen en werd op het moment van de ontdekking al actief misbruikt. De Shadowserver Foundation meldde dit weekend dat er inmiddels grootschalig misbruik plaatsvindt. Ook de andere twee zerodays die Ivanti op 10 januari rapporteerde worden op grote schaal aangevallen, zo laat Europol weten.

Volgens de opsporingsdienst is er sprake van een 'developing situation' en is het cruciaal dat organisaties hier gepast op reageren. Daarbij wordt aangeraden om advies van lokale cyberagentagentschappen in de gaten te houden en op te volgen. Het komt zelden voor dat Europol waarschuwt voor kwetsbaarheden. Zo wordt onder andere het uitvoeren van een fabrieksreset van het apparaat als maatregel genoemd. Ook Amerikaanse overheidsinstanties die van de VPN-oplossing gebruikmaken moeten dit doen.