Download
Beveilingsadvies; NCSC-2025-0005 [1.0.2]
- Beveiligingsadvies
- NCSC-2025-0005 [1.0.2]
- Publicatie
- 09-01-2025 14:49 (Europe/Amsterdam)
- Prioriteit
- Hoog
- Betreft
- Kwetsbaarheden verholpen in Ivanti Connect Secure en Policy Secure
Revisies
| Versie | Datum | Opmerking | |
|---|---|---|---|
| 2 | 09-01-2025 13:49 | Het NCSC adviseert ook de Integrity Checker Tools (ICT) in te zetten om mogelijk misbruik te kunnen detecteren, deze is alleen beschibaar voor versie 22.7R2.5.* | Bekijken |
| 1 | 09-01-2025 13:42 | Ivanti adviseert om de interne en externe Integrity Checker Tools (ICT) te gebruiken op betreffende apparatuur, de interne integrity check tool zou echter mogelijk door malafide handelingen niet correct werken. Uit open bronnen blijkt dat er antiforensische methoden zouden zijn toegepast welke, bij eerder misbruik, niet enkel met een patch zouden kunnen worden opgelost. | Bekijken |
| 0 | 08-01-2025 18:55 | Initiele versie | Bekijken |
Kenmerken
- Stack-based Buffer Overflow
Omschrijving
Ivanti heeft kwetsbaarheden verholpen in Connect Secure en Policy Secure.
De eerste kwetsbaarheid (CVE-2025-0282) kan door kwaadwillenden misbruikt worden om zonder authenticatie op afstand willekeurige code uit te voeren. De tweede kwetsbaarheid (CVE-2025-0283) kan door een lokaal geauthenticeerde kwaadwillende misbruikt worden om de rechten te verhogen.
Ivanti geeft aan dat CVE-2025-0282 actief misbruikt word bij gebruikers van Connect Secure.
Ivanti adviseert om de interne en externe Integrity Checker Tools (ICT) te gebruiken op betreffende apparatuur, de interne integrity check tool zou echter mogelijk door malafide handelingen niet correct werken. Het NCSC adviseert ook de Integrity Checker Tools (ICT) in te zetten om mogelijk misbruik te kunnen detecteren, deze is alleen beschibaar voor versie 22.7R2.5. In de aanval zouden mogelijk meerdere persistence technieken zijn toegepast, een daarvan is het blokkeren van een legitieme patch en in plaats daarvan een schijn patch op het scherm weer te geven als het systeem gepatched word. Dit zou betekenen dat de update die zou zijn uitgevoerd niet correct is en mogelijk zou een kwaadwillende nog steeds toegang hebben tot het apparaat. Ook adviseert Ivanti om bij onderkenning van eerder misbruik betreffende apparatuur te factory resetten en de versie terug te zetten naar 22.7R2.5. Het is belangrijk dat bij tekenen van misbruik credentials en API tokens worden geroteerd, deze zouden mogelijk gestolen kunnen zijn.
Oplossingen
Ivanti heeft patches uitgebracht om de kwetsbaarheid te verhelpen in Connect Secure versie 22.7R2.5. Gebruikers van Connect Secure worden daarnaast door Ivanti dringend geadviseerd om de integriteit van het systeem met de interne en externe Integrity Checker Tools (ICT) te onderzoeken. Hiermee kunnen mogelijke antiforensische handelingen worden gedetecteerd.
Voor Policy Secure zal naar verwachting op 21 januari een patch beschikbaar komen. Dit product hoort echter normaliter niet via het internet bereikbaar te zijn en er is dan ook geen actief misbruik van de kwetsbaarheden in Policy Secure bekend.
Google TI heeft een blog geschreven over het misbruik met meerdere indicators of compromise (IoC's) welke kunnen ondersteunen bij onderzoek.
Zie bijgevoegde referenties voor meer informatie.
Referenties
CVE's
- CVE-2025-0282 - CVSS (v3) 9.0
- CVE-2025-0283 - CVSS (v3) 7.0
Disclaimer
The Netherlands Cyber Security Center (henceforth: NCSC-NL) maintains this page to enhance access to its information and security advisories. The use of this security advisory is subject to the following terms and conditions: NCSC-NL makes every reasonable effort to ensure that the content of this page is kept up to date, and that it is accurate and complete. Nevertheless, NCSC-NL cannot entirely rule out the possibility of errors, and therefore cannot give any warranty in respect of its completeness, accuracy or continuous keeping up-to-date. The information contained in this security advisory is intended solely for the purpose of providing general information to professional users. No rights can be derived from the information provided therein. NCSC-NL and the Kingdom of the Netherlands assume no legal liability or responsibility for any damage resulting from either the use or inability of use of this security advisory. This includes damage resulting from the inaccuracy of incompleteness of the information contained in the advisory. This security advisory is subject to Dutch law. All disputes related to or arising from the use of this advisory will be submitted to the competent court in The Hague. This choice of means also applies to the court in summary proceedings.