CVE-2025-0282

Nome do Software Vulnerável e Versões Afetadas Ivanti Connect Secure versões anteriores a 22.7R2.5 Ivanti Policy Secure versões anteriores a 22.7R1.2 Ivanti Neurons for ZTA gateways versões anteriores a 22.7R2.3

Description Um estouro de buffer baseado em pilha e a leitura de memória fora dos limites existem no software afetado. Isso permite que um invasor remoto não autenticado consiga a execução remota de código e a elevação de privilégios. A exploração no mundo real foi observada desde meados de dezembro de 2024, atingindo instituições financeiras e agências governamentais. Os invasores utilizaram um Trojan de acesso remoto (RAT) baseado em ELF conhecido como DslogdRAT, que emprega uma rotina de configuração init config() para descriptografar configurações usando uma cifra XOR e uma função child() para manter a persistência através de forkings contínuos. O processo de exploração envolve a desativação do SELinux, a prevenção do encaminhamento de syslog, a remontagem da unidade como leitura e gravação, a implantação de web shells e a manipulação do manifesto da ferramenta Ivanti Integrity Checker Tool (ICT) para ignorar as verificações de integridade. Além disso, o malware PHASEJAM foi usado para exibir barras de progresso de atualização falsas para enganar os administradores enquanto bloqueava atualizações legítimas do sistema.

Recommendations Atualize o Ivanti Connect Secure para a versão 22.7R2.5 ou posterior. Atualize o Ivanti Policy Secure para a versão 22.7R1.2 ou posterior. Atualize o Ivanti Neurons for ZTA gateways para a versão 22.7R2.3 ou posterior. Execute a ferramenta externa Ivanti ICT para verificar a integridade do sistema.