Ivanti, en az Mart 2025 ortasından beri kötü amaçlı yazılım dağıtmak için Çin bağlantılı bir casusluk aktörü tarafından kullanılan kritik bir bağlantı güvenli uzaktan kumanda yürütme güvenlik açığı yama için güvenlik güncellemeleri yayınladı.
CVE-2025-22457 olarak izlenen bu kritik güvenlik kusuru, yığın tabanlı bir tampon taşma zayıflığından kaynaklanmaktadır. Pulse Connect Secure 9.1x (Aralık ayında destek ucuna ulaşan), Ivanti Connect Secure 22.7R2.5 ve daha eski, ZTA ağ geçitleri için politika güvenli ve nöronları etkiler.
Ivanti'nin danışmanlığına göre, uzaktan tehdit aktörleri, kimlik doğrulama veya kullanıcı etkileşimi gerektirmeyen yüksek karmaşık saldırılarda kullanabilir. Şirket, başlangıçta bir ürün hatası olarak etiketlendikten sonra Ivanti Connect Secure 22.7R2.6'nın piyasaya sürülmesiyle 11 Şubat 2025'te güvenlik açığını yamaladı.
Ivanti Perşembe günü yaptığı açıklamada, "Güvenlik açığı, dönemler ve sayılarla sınırlı karakterlere sahip bir tampon taşmasıdır, değerlendirildi ve uzaktan kod yürütülmesi olarak sömürülebilir olmadığı ve hizmet reddi gereksinimlerini karşılamadığı belirlenmiştir." Dedi.
"Bununla birlikte, Ivanti ve güvenlik ortaklarımız artık güvenlik açığının sofistike yollarla sömürülebilir olduğunu öğrendiler ve vahşi doğada aktif sömürü kanıtlarını belirlediler. Tüm müşterileri, güvenlik açığını gideren Ivanti Connect Secure 22.7R2.6'yı mümkün olan en kısa sürede çalıştırdıklarından emin olmaya teşvik ediyoruz."
ZTA ve Ivanti Politikası Güvenlik Yamaları Güvenli Ağ Geçitleri hala geliştirilmektedir ve sırasıyla 19 Nisan ve 21 Nisan'da piyasaya sürülecek olsa da, Ivanti, "bu kırılganlıktan anlamlı bir şekilde azaltılmış riski" olan bu ağ geçitlerini hedefleyen "herhangi bir sömürünün farkında olmadığını" söyledi.
Ivanti ayrıca yöneticilere harici bütünlük denetleyici araçlarını (BİT) izlemelerini ve web sunucusu çökmelerini aramalarını tavsiye etti. Herhangi bir uzlaşma belirtisi keşfedilirse, yöneticiler fabrikada etkilenen cihazları sıfırlamalı ve yazılım sürüm 22.7R2.6 kullanarak üretime geri koymalıdır.
Ivanti henüz CVE-2025-22457 saldırıları ile ilgili daha fazla ayrıntı açıklamamış olsa da, Mantians ve Google Tehdit İstihbarat Grubu (GTIG) güvenlik araştırmacıları bugün, şüpheli bir Çin-Nexus casusluk aktörünün UNC5221 olarak izlenen güvenlik açığından yararlandığını açıkladı.
Mantiant, "Başarılı bir sömürü takiben, yeni tanımlanmış iki kötü amaçlı yazılım ailesinin, Trailblaze'nin sadece bellek içi damlası ve fırça ateşi pasif arka kapağının konuşlandırılmasını gözlemledik. Ayrıca, daha önce bildirilen UNC5221'e atfedilen kötü amaçlı yazılım ekosisteminin konuşlandırılması da gözlendi." Dedi.
"Tehdit oyuncunun ICS 22.7R2.6'daki güvenlik açığı için yamayı incelemesi ve karmaşık bir süreçle ortaya çıkarıldığını değerlendiriyoruz, uzaktan kod yürütülmesini sağlamak için 22.7R2.5 ve daha önceki bir kullanımdan yararlanmak mümkün oldu."
UNC5221, 2023 yılından bu yana çeşitli Ivanti ve NetScaler aletleri de dahil olmak üzere ağ kenar cihazlarındaki sıfır gün güvenlik açıklarını hedeflemekle bilinir. Son zamanlarda, Çinli hackerlar, yeni Dryhook ve Fazjam kötü amaçlı yazılımlarını tehlikeye atılan VPN cihazlarına düşürmek için başka bir Ivanti Connect Secure Tampon Taşması olan CVE-2025-0282'den yararlandı.
Bir yıl önce, hackleme grubu ayrıca hedeflenen ICS VPN ve IPS Ağ Erişim Kontrolü (NAC) aletlerinde uzaktan keyfi komutlar yürütmek için iki bağlantı güvenli ve politika güvenli sıfır gün (CVE-2023-46805 ve CVE-2024-21887) zincirledi. Kurbanlarından biri, Nisan 2024'te ihlali açıklayan Miter Corporation'dı.
Tehdit İstihbarat Şirketi Volexity, Ocak 2024'te UNC5221'in iki sıfır günü zincirleyen saldırılarda hediye webshell'i kullanarak 2.100'den fazla Ivanti cihazını geri yüklediğini söyledi.
CISA ve FBI'ın Ocak 2025'te uyardığı gibi, saldırganlar, Eylül ayından bu yana yamalı Ivanti Bulut Servis Aletleri (CSA) güvenlik açıklarını hedefleyen istismarları kullanarak savunmasız ağları ihlal ediyorlar. Şirketin VPN aletleri ve IC'leri, IP'leri ve ZTA ağ geçitlerine karşı geçen yıl boyunca birçok diğer Ivanti güvenlik kusuru kullanılmıştır.
Güncelleme 03 Nisan 14:16 EDT: Ivanti CSO Daniel Spicer, hikaye yayınlandıktan sonra aşağıdaki ifadeyi gönderdi.
Özellikle ağ güvenlik cihazları ve Edge cihazları, sofistike ve son derece kalıcı tehdit aktörlerinin odağıdır ve Ivanti, ortamlarını güvence altına almak için mümkün olan her adımı atabileceklerinden emin olmak için savunuculara bilgi sağlamayı taahhüt eder. Bu amaçla, doğrudan müşterilere danışmanlık sağlamanın yanı sıra, Ivanti, yakın zamanda ele alınan bu güvenlik açığı hakkında ek bilgi sağlamak için ortak maniant ile yakın bir şekilde çalıştı. Önemli olarak, bu güvenlik açığı ICS 22.7R2.6'da sabitlendi, 11 Şubat 2025'te piyasaya sürüldü ve cihazlarında desteklenen sürümler çalıştırdı ve Ivanti tarafından sağlanan rehberliğe uygun olarak önemli ölçüde azaldı. Ivanti’nin Integrity Checker Aracı (BİT), ICS 9.x (yaşamın sonu) ve 22.7R2.5 ve önceki sürümleri çalıştıran sınırlı sayıda müşteri üzerinde potansiyel uzlaşmayı tespit etmede başarılı olmuştur.
14 metrelik kötü niyetli eylemlerin analizine dayanarak, saldırıların% 93'ünün ve bunlara karşı nasıl savunulacağının arkasındaki en iyi 10 MITER ATT & CK tekniklerini keşfedin.
Ivanti, şimdi kitlesel sömürü altında güvenli sıfır günleri bağlayın
Ivanti Zero-Gün Saldırıları Enfekte Cihazlar Özel Kötü Yazılımlarla
Ivanti Connect Secure Sıfır Günleri Özel Kötü Yazılım Dağıtmak İçin Söküldü
Ivanti: VPN Cihazları Hafifleştirmeden sonra yapılandırmaları itiyorsanız savunmasız
CISA Acil Durum Direktifi: Ivanti sıfır günlerini hemen azaltın
Kaynak: Bleeping Computer