CVE-2025-0282: Nicht authentifizierte RCE in Ivanti Connect Secure

Ein kritischer stackbasierter Pufferüberlauf in Ivanti Connect Secure, Policy Secure und ZTA Gateways ermöglicht nicht authentifizierten Angreifern aus der Ferne die Ausführung beliebigen Codes. Die Schwachstelle wurde bereits vor Verfügbarkeit eines Patches aktiv von staatlich unterstützten Bedrohungsakteuren ausgenutzt. CVSS-Bewertung: 9.0 KRITISCH.

Was ist CVE-2025-0282?

CVE-2025-0282 ist eine Schwachstelle durch einen stackbasierten Pufferüberlauf in Ivanti Connect Secure (ehemals Pulse Secure VPN), Ivanti Policy Secure und Ivanti Neurons for ZTA Gateways. Die Schwachstelle befindet sich in der Komponente des SSL VPN-Gateways und kann von einem nicht authentifizierten Angreifer über das Netzwerk ausgelöst werden.

Die Schwachstelle wurde von Mandiant-Forschern entdeckt, die eine aktive Ausnutzung durch eine staatlich unterstützte chinesische Bedrohungsgruppe feststellten, die als UNC5337 verfolgt wird. Die Gruppe setzte die SPAWN-Malwarefamilie ein, darunter die Implantate SPAWNANT, SPAWNMOLE und SPAWNSNAIL, um dauerhaften Zugriff zu erlangen.

Betroffene Systeme

Technische Auswirkungen

Eine erfolgreiche Ausnutzung von CVE-2025-0282 verschafft einem nicht authentifizierten Angreifer die vollständige Kontrolle über die VPN-Gateway-Appliance. Da sich diese Geräte am Netzwerkperimeter befinden und den gesamten Datenverkehr für Fernzugriffe verarbeiten, ist das Schadenspotenzial außergewöhnlich groß:

• Vollständige Systemkompromittierung: Codeausführung mit Root-Rechten auf der Gateway-Appliance
• Abfangen von Zugangsdaten: Sämtliche VPN-Anmeldedaten, die das Gerät passieren
• Eindringen ins Netzwerk: Direkter Zugriff auf interne Unternehmensnetzwerke unter Umgehung der Perimeterkontrollen
• Persistente Hintertür: Angreifer installierten Implantate auf Firmware-Ebene, die selbst ein Zurücksetzen auf die Werkseinstellungen überstanden
• Laterale Bewegung: Die vertrauenswürdige Netzwerkposition des Gateways ermöglicht interne Aufklärung und Angriffe

Funktionsweise der Schwachstelle

Der Pufferüberlauf tritt im IFT-Dienst (Ivanti Fieldwork Terminal) auf, der die anfängliche SSL/TLS-Aushandlung verarbeitet. Ein Angreifer sendet während der Handshake-Phase — noch vor jeglicher Authentifizierung — ein speziell präpariertes Paket mit einem fehlerhaften Längenfeld. Dadurch kopiert der Dienst mehr Daten in einen stackbasierten Puffer fester Größe, als dieser aufnehmen kann.

# Vereinfachte Darstellung des verwundbaren Codepfads
void handle_ift_request(char *data, size_t len) {
    char buf[512];          // Stackbasierter Puffer fester Größe
    size_t claimed_len = get_claimed_length(data);  // Vom Angreifer kontrolliert
    memcpy(buf, data, claimed_len);  // Keine Grenzprüfung — hier erfolgt der Überlauf
    process_ift(buf);
}

Der Überlauf überschreibt die gespeicherte Rücksprungadresse auf dem Stack. Da ASLR auf der Firmware der Appliance nur teilweise wirksam ist, nutzten Angreifer eine Informationspreisgabe durch die begleitende Schwachstelle CVE-2025-0283, um die Randomisierung zu umgehen und eine zuverlässige Ausnutzung zu erreichen.

Erkennung

Protokollanalyse

Suchen Sie in den Protokollen von Ivanti Connect Secure nach diesen Indikatoren:

# Verdächtige Abstürze des IFT-Dienstes (vor der Ausnutzung)
grep "ift" /var/log/messages | grep -i "crash\|segfault\|core dump"

# Unerwartete ausgehende Verbindungen vom Gateway
grep "CONNECT\|tunnel" /var/log/esap.log | grep -v "known-good-ips"

# SPAWNSNAIL-SSH-Hintertür auf einem nicht standardmäßigen Port
netstat -tlnp | grep -v ":22 \|:443 \|:80 "

Netzwerkindikatoren

• Anomale TLS-Handshake-Fehler, gefolgt von erfolgreichen Verbindungen
• Ausgehende Verbindungen vom VPN-Gateway zu ungewöhnlichen IP-Bereichen
• Neue SSH-Schlüssel in /home/user/.ssh/authorized_keys
• Geänderte Dateien in den Verzeichnissen /home/user/ oder /tmp/

Ivanti Integrity Checker Tool (ICT)

Ivanti veröffentlichte eigens für diesen Vorfall ein Integrity Checker Tool. Führen Sie das externe ICT für alle Gateways aus — das interne ICT wurde bei einigen Vorfällen durch das SPAWNANT-Installationsprogramm kompromittiert.

Schutzmaßnahmen

1. Sofort patchen: Aktualisieren Sie auf Connect Secure 22.7R2.5 oder höher. Diese Maßnahme ist zwingend erforderlich; es gibt keine praktikable Übergangslösung.
2. Vor dem Patchen auf Werkseinstellungen zurücksetzen: Aufgrund der Persistenz auf Firmware-Ebene empfiehlt Ivanti, potenziell kompromittierte Geräte vor dem Einspielen der Patches auf die Werkseinstellungen zurückzusetzen.
3. Alle Zugangsdaten erneuern: Alle Zugangsdaten, die das VPN-Gateway passiert haben, müssen als kompromittiert gelten. Ändern Sie VPN-Passwörter, Zertifikate und sämtliche über das Gateway authentifizierten Zugangsdaten.
4. Gateway-Protokolle überprüfen: Prüfen Sie die Zugriffsprotokolle der 90 Tage vor dem Patchen auf Anzeichen unbefugter Zugriffe.
5. Netzwerksegmentierung implementieren: Beschränken Sie ausgehende Verbindungen des VPN-Gateways auf die unbedingt erforderlichen Ziele.
6. EDR auf dem Gateway bereitstellen: Installieren Sie, sofern unterstützt, eine Lösung zur Endpunkterkennung auf den Gateway-Appliances.

Erkennungsfunktionen von KENSAI

Die automatisierte Plattform von KENSAI für Sicherheitsbewertungen erkennt eine Gefährdung durch CVE-2025-0282 über mehrere Erkennungsebenen:

• Versions-Fingerprinting: KENSAI identifiziert Banner und Versionsangaben von Ivanti Connect Secure und kennzeichnet ungepatchte Instanzen anhand des von CVE-2025-0282 betroffenen Versionsbereichs
• Sichere Ausnutzungsprüfung: Eine nicht destruktive Erkennung von Handshake-Anomalien bestätigt die Schwachstelle, ohne den Überlauf auszulösen
• Expositionsbewertung: Identifiziert mit dem Internet verbundene Ivanti-Gateways in Ihrem Asset-Inventar
• Indikatoren nach der Ausnutzung: Die Analyse des Netzwerkverkehrs erkennt C2-Kommunikationsmuster der SPAWN-Malware
• Kontinuierliche Überwachung: Warnt innerhalb weniger Minuten, wenn ein neues ungepatchtes Gateway auf Ihrer externen Angriffsfläche erscheint