CVE-2025-0282

Nome do Software Vulnerável e Versões Afetadas Ivanti Connect Secure versões anteriores a 22.7R2.5 Ivanti Policy Secure versões anteriores a 22.7R1.2 Ivanti Neurons for ZTA gateways versões anteriores a 22.7R2.3

Description Um estouro de buffer baseado em pilha existe no software afetado, permitindo que um atacante remoto não autenticado consiga a execução remota de código. Este problema foi explorado na prática em instituições financeiras e agências governamentais por meio de um Trojan de acesso remoto (RAT) baseado em ELF conhecido como DslogdRAT. O processo de exploração envolve a desativação do SELinux, a interrupção do encaminhamento de syslog, a remontagem da unidade como leitura e gravação e a implantação de web shells. Os atacantes também utilizam uma ferramenta chamada PHASEJAM para exibir barras de progresso de atualização falsas para enganar os administradores e manipulam o manifesto da ferramenta Ivanti Integrity Checker Tool (ICT) para ignorar as verificações de integridade. A análise técnica do malware associado revela o uso da função init config() para descriptografar buffers de configuração via cifra XOR, e a função child() para manter a persistência através de forkings contínuos. As capacidades de rede são gerenciadas pela função test(), que utiliza connectx() para comunicação de saída e listenx() para conectividade de entrada.

Recommendations Atualize o Ivanti Connect Secure para a versão 22.7R2.5 ou posterior. Atualize o Ivanti Policy Secure para a versão 22.7R1.2 ou posterior. Atualize o Ivanti Neurons for ZTA gateways para a versão 22.7R2.3 ou posterior. Execute a ferramenta externa Ivanti ICT para verificar a integridade do sistema.