CVE-2025-0282

اسم البرنامج المصاب والإصدارات المتأثرة Ivanti Connect Secure الإصدارات السابقة لـ 22.7R2.5 Ivanti Policy Secure الإصدارات السابقة لـ 22.7R1.2 Ivanti Neurons for ZTA gateways الإصدارات السابقة لـ 22.7R2.3

Description يوجد تجاوز لسعة المخزن المؤقت المستند إلى المكدس وقراءة للبيانات خارج حدود الذاكرة في البرامج المتأثرة. يسمح هذا لمهاجم عن بُعد غير مصرح له بتحقيق تنفيذ عن بُعد للكود ورفع الامتيازات. تم رصد عمليات استغلال في العالم الحقيقي منذ منتصف ديسمبر 2024، استهدفت المؤسسات المالية والوكالات الحكومية. استخدم المهاجمون تروجان للوصول عن بُعد يعتمد على ELF يُعرف باسم DslogdRAT، والذي يستخدم دالة child() للحفاظ على الاستمرارية من خلال عمليات fork مستمرة، ودالة test() لإدارة الاتصالات الصادرة عبر connectx() والاتصالات الواردة عبر listenx(). تتضمن عملية الاستغلال تعطيل SELinux، ومنع إعادة توجيه syslog، وإعادة تركيب القرص كقراءة وكتابة، ونشر web shells، والتلاعب ببيان أداة Ivanti Integrity Checker Tool (ICT) لتجاوز فحوصات السلامة. بالإضافة إلى ذلك، تم استخدام برمجية PHASEJAM الخبيثة لعرض أشرطة تقدم تحديث وهمية لخداع مسؤولي النظام.

Recommendations تحديث Ivanti Connect Secure إلى الإصدار 22.7R2.5 أو أحدث. تحديث Ivanti Policy Secure إلى الإصدار 22.7R1.2 أو أحدث. تحديث Ivanti Neurons for ZTA gateways إلى الإصدار 22.7R2.3 أو أحدث. تشغيل أداة Ivanti ICT الخارجية للتحقق من سلامة النظام.