Ivanti Falha CVE-2025-0282 Ativamente Explorado, Impactos Conectar Seguro e Política Segura

ZNX Postagens

A Ivanti está alertando que uma falha crítica de segurança que afeta o Ivanti Connect Secure, o Policy Secure e o ZTA Gateways está sob exploração ativa no início de meados de dezembro de 2024.

A vulnerabilidade de segurança em questão é CVE-2025-0282 (CVSS score: 9.0), um estouro de buffer baseado em pilha que afeta o Ivanti Connect Secure antes da versão 22.7R2.5, o Ivanti Policy Secure antes da versão 22.7R1.2 e o Ivanti Neurons para gateways ZTA antes da versão 22.7R2.3.

“A exploração bem-sucedida do CVE-2025-0282 pode levar à execução remota de código não autenticada” Ivanti disse em um consultivo. “A atividade do ator de ameaças foi identificada pela Integrity Checker Tool (ICT) no mesmo dia em que ocorreu, permitindo que a Ivanti respondesse prontamente e desenvolvesse rapidamente uma correção.”

Também corrigida pela empresa é outra falha de alta gravidade (CVE-2025-0283, pontuação CVSS: 7.0) que permite que um invasor autenticado localmente aumente seus privilégios. As vulnerabilidades, abordadas na versão 22.7R2.5, afetam as seguintes versões –

  • CVE-2025-0282 – Ivanti Connect Secure 22.7R2 a 22.7R2.4, Ivanti Policy Secure 22.7R1 a 22.7R1.2 e Ivanti Neurons para gateways ZTA 22.7R2 a 22.7R2.3
  • CVE-2025-0283 – Ivanti Connect Secure 22.7R2.4 e anterior, 9.1R18.9 e anterior, Ivanti Policy Secure 22.7R1.2 e anterior, e Ivanti Neurons para gateways ZTA 22.7R2.3 e anteriores

A Ivanti reconheceu que está ciente de um “número limitado de clientes” cujos dispositivos Connect Secure foram explorados devido ao CVE-2025-0282. Atualmente, não há evidências de que o CVE-2025-0283 esteja sendo armado.

A Mandiant, de propriedade do Google, que detalhou sua investigação sobre ataques que exploram o CVE-2025-0282, disse que observou a implantação do ecossistema SPAWN de malware em vários dispositivos comprometidos de várias organizações. O uso de SPAWN foi atribuído a um ator de ameaças China-nexo apelidado UNC5337, que é avaliado como parte de UNC5221 com confiança média.

Os ataques também culminaram na instalação de famílias de malware anteriormente não documentadas, chamadas DRYHOOK e PHASEJAM. Nenhuma das cepas foi associada a um ator ou grupo de ameaças conhecido.

A exploração do CVE-2025-0282, de acordo com a empresa de segurança cibernética, envolve a realização de uma série de etapas para desativar o SELinux, evitar o encaminhamento de syslog, remontar a unidade como leitura e gravação, executar scripts para soltar shells da Web, usar sed para remover entradas de log específicas dos logs de depuração e aplicativos, reativar o SELinux e remontar a unidade.

Uma das cargas executadas usando o script shell é outro script shell que, por sua vez, executa um binário ELF responsável por lançar PHASEJAM, um conta-gotas de script shell projetado para fazer modificações maliciosas nos componentes do dispositivo Ivanti Connect Secure.

“As principais funções do PHASEJAM são inserir um shell da web nos arquivos getComponent.cgi e restAuth.cgi, bloquear atualizações do sistema modificando o arquivo DSUPgrade.pm e sobrescrever o executável remotedebug para que ele possa ser usado para executar comandos arbitrários quando um parâmetro específico for passado” disse.

O shell da Web é capaz de decodificar comandos do shell e filtrar os resultados da execução do comando de volta para o invasor, fazer upload de arquivos arbitrários no dispositivo infectado e ler e transmitir o conteúdo do arquivo.

Há evidências que sugerem que o ataque é o trabalho de um agente de ameaça sofisticado devido à remoção metódica de entradas de log, mensagens do kernel, traços de falhas, erros de manipulação de certificados e histórico de comandos.

PHASEJAM também estabelece persistência bloqueando secretamente atualizações legítimas para o dispositivo Ivanti, renderizando uma barra de progresso de atualização HTML falsa. Por outro lado, o SPAWNANT, o componente de instalação associado à estrutura de malware SPAWN, pode persistir nas atualizações do sistema sequestrando o fluxo de execução do dspkginstall, um binário usado durante o processo de atualização do sistema.

A Mandiant disse que observou vários utilitários de tunelamento publicamente disponíveis e de código aberto, incluindo o SPAWNMOLE, para facilitar as comunicações entre o dispositivo comprometido e a infraestrutura de comando e controle (C2) do agente de ameaças.

Algumas das outras atividades pós-exploração realizadas estão listadas abaixo –

  • Realize reconhecimento interno de rede usando ferramentas internas como nmap e dig
  • Use a conta de serviço LDAP para executar consultas LDAP e mover lateralmente dentro da rede, incluindo servidores do Active Directory, por meio de SMB ou RDP
  • Roubar banco de dados de cache de aplicativos contendo informações associadas a sessões VPN, cookies de sessão, chaves de API, certificados e material de credenciais
  • Implante um script Python chamado DRYHOOK para coletar credenciais

Mandiant também alertou que é possível que vários grupos de hackers sejam responsáveis pela criação e implantação de SPAWN, DRYHOOK e PHASEJAM, mas observou que não tem dados suficientes para estimar com precisão o número de agentes de ameaças que visam a falha.

À luz da exploração ativa, os EUA. A Agência de Segurança Cibernética e Infraestrutura (CISA) tem adicionado CVE-2025-0282 para as Vulnerabilidades Exploradas Conhecidas (KEVcatálogo, exigindo que as agências federais apliquem os patches até 15 de janeiro de 2025. Também é insistindo organizações para analisar seus ambientes em busca de sinais de comprometimento e relatar qualquer incidente ou atividade anômala.

Atualização

A Ivanti está recomendando o uso da Integrity Checker Tool (ICT) para caçar a exploração do CVE-2025-0282. Se uma atividade suspeita for identificada, é aconselhável executar uma redefinição de fábrica no dispositivo para remover o malware e colocá-lo de volta em produção usando a versão 22.7R2.5.

Também reiterou que os dispositivos Policy Secure não devem ser expostos à Internet. “Os gateways Ivanti Neurons ZTA não podem ser explorados quando em produção”, disse a empresa. “Se um gateway para esta solução é gerado e deixado desconectado para um controlador ZTA, então há um risco de exploração no gateway gerado.”

Fonte: https://thehackernews.com/