CVE-2025-0282: Ivanti Connect Secure Unauthenticated RCE

Ein kritischer Stack-basierter Buffer-Overflow in Ivanti Connect Secure, Policy Secure und ZTA Gateways erlaubt unauthentifizierten Remote-Angreifern die Ausführung beliebigen Codes. Vor Patch-Verfügbarkeit aktiv von staatlich gesponserten Threat-Actors ausgenutzt. CVSS-Score: 9.0 KRITISCH.

Was ist CVE-2025-0282?

CVE-2025-0282 ist eine Stack-basierte Buffer-Overflow-Schwachstelle in Ivanti Connect Secure (ehemals Pulse Secure VPN), Ivanti Policy Secure und Ivanti Neurons for ZTA Gateways. Die Schwachstelle befindet sich in der SSL-VPN-Gateway-Komponente und kann von einem unauthentifizierten Angreifer über das Netzwerk ausgelöst werden.

Die Schwachstelle wurde von Mandiant-Forschern entdeckt, die aktive Ausnutzung durch eine chinesische staatlich gesponserte Threat-Gruppe (getrackt als UNC5337) identifizierten, die die SPAWN-Malware-Familie einsetzt — darunter die Implantate SPAWNANT, SPAWNMOLE und SPAWNSNAIL für persistenten Zugriff.

Betroffene Systeme

Technischer Impact

Erfolgreiche Ausnutzung von CVE-2025-0282 gewährt einem unauthentifizierten Angreifer vollständige Kontrolle über die VPN-Gateway-Appliance. Da diese Geräte am Netzwerk-Perimeter sitzen und den gesamten Remote-Access-Traffic abwickeln, ist der Blast-Radius außergewöhnlich groß:

• Vollständige System-Kompromittierung: Code-Ausführung auf Root-Ebene auf der Gateway-Appliance
• Credential-Interception: Alle VPN-Authentifizierungs-Credentials, die das Gerät passieren
• Netzwerk-Pivot: Direkter Zugriff auf interne Unternehmensnetze unter Umgehung der Perimeter-Kontrollen
• Persistente Backdoor: Angreifer setzten Implantate auf Firmware-Ebene ein, die Werksreset überstehen
• Laterale Bewegung: Die vertrauenswürdige Netzwerkposition des Gateways ermöglicht interne Aufklärung und Angriffe

Wie die Schwachstelle funktioniert

Der Buffer-Overflow tritt im IFT-Dienst (Ivanti Fieldwork Terminal) auf, der die initiale SSL/TLS-Aushandlung behandelt. Ein Angreifer sendet während der Handshake-Phase — bevor irgendeine Authentifizierung erfolgt — ein speziell präpariertes Paket mit einem fehlerhaften Längenfeld, das den Dienst veranlasst, mehr Daten in einen Stack-Buffer fester Größe zu kopieren, als dieser fassen kann.

# Simplified representation of the vulnerable code path
void handle_ift_request(char *data, size_t len) {
    char buf[512];          // Fixed-size stack buffer
    size_t claimed_len = get_claimed_length(data);  // Attacker-controlled
    memcpy(buf, data, claimed_len);  // No bounds check — overflow here
    process_ift(buf);
}

Der Overflow überschreibt die gespeicherte Rücksprungadresse auf dem Stack. Da ASLR auf der Appliance-Firmware nur teilweise wirksam ist, nutzten Angreifer eine Information-Disclosure aus der Begleit-Schwachstelle CVE-2025-0283, um die Randomisierung auszuhebeln und zuverlässige Ausnutzung zu erreichen.

Erkennung

Log-Analyse

Suchen Sie in den Logs von Ivanti Connect Secure nach diesen Indikatoren:

# Suspicious IFT service crashes (pre-exploitation)
grep "ift" /var/log/messages | grep -i "crash\|segfault\|core dump"

# Unexpected outbound connections from gateway
grep "CONNECT\|tunnel" /var/log/esap.log | grep -v "known-good-ips"

# SPAWNSNAIL SSH backdoor on non-standard port
netstat -tlnp | grep -v ":22 \|:443 \|:80 "

Netzwerk-Indikatoren

• Anomale TLS-Handshake-Fehler gefolgt von erfolgreichen Verbindungen
• Ausgehende Verbindungen zu ungewöhnlichen IP-Bereichen vom VPN-Gateway
• Neue SSH-Keys hinzugefügt zu /home/user/.ssh/authorized_keys
• Modifizierte Dateien in den Verzeichnissen /home/user/ oder /tmp/

Ivanti Integrity Checker Tool (ICT)

Ivanti veröffentlichte speziell für diesen Vorfall ein Integrity Checker Tool. Führen Sie das externe ICT gegen alle Gateways aus — das interne ICT wurde in einigen Vorfällen vom SPAWNANT-Installer kompromittiert.

Mitigation

1. Sofort patchen: Upgrade auf Connect Secure 22.7R2.5 oder höher. Dies ist eine verpflichtende Maßnahme ohne praktikablen Workaround.
2. Werksreset vor dem Patchen: Aufgrund der Persistenz auf Firmware-Ebene empfiehlt Ivanti, vor dem Anwenden von Patches auf potenziell kompromittierten Geräten einen Werksreset durchzuführen.
3. Alle Credentials rotieren: Jedes Credential, das das VPN-Gateway passiert hat, muss als kompromittiert gelten. Rotieren Sie VPN-Passwörter, Zertifikate und alle über das Gateway authentifizierten Credentials.
4. Gateway-Logs prüfen: Auditieren Sie die Zugriffs-Logs der 90 Tage vor dem Patchen auf Anzeichen unautorisierten Zugriffs.
5. Netzwerk-Segmentierung umsetzen: Beschränken Sie die ausgehende Konnektivität des VPN-Gateways auf ausschließlich notwendige Ziele.
6. EDR auf dem Gateway einsetzen: Setzen Sie, wo unterstützt, Endpoint-Detection auf Gateway-Appliances ein.

KENSAI-Erkennungsfähigkeit

KENSAIs automatisierte Security-Assessment-Plattform erkennt CVE-2025-0282-Exposure über mehrere Erkennungsschichten:

• Versions-Fingerprinting: KENSAI identifiziert Ivanti-Connect-Secure-Banner und Versions-Strings und markiert ungepatchte Instanzen gegen den CVE-2025-0282-Versionsbereich
• Sichere Exploitation-Probe: Nicht-destruktive Handshake-Anomalie-Erkennung bestätigt die Schwachstelle, ohne den Overflow auszulösen
• Exposure-Assessment: Identifiziert internet-gerichtete Ivanti-Gateways in Ihrem Asset-Inventar
• Post-Exploitation-Indikatoren: Netzwerk-Traffic-Analyse erkennt C2-Kommunikationsmuster der SPAWN-Malware
• Kontinuierliches Monitoring: Alarmiert innerhalb von Minuten, wenn ein neues ungepatchtes Gateway in Ihrer externen Angriffsfläche auftaucht