Vulnerability from csaf_ncscnl
Published
2025-01-08 18:55
Modified
2025-01-09 14:05
Summary
Kwetsbaarheden verholpen in Ivanti Connect Secure en Policy Secure

Notes

The Netherlands Cyber Security Center (henceforth: NCSC-NL) maintains this page to enhance access to its information and security advisories. The use of this security advisory is subject to the following terms and conditions: NCSC-NL makes every reasonable effort to ensure that the content of this page is kept up to date, and that it is accurate and complete. Nevertheless, NCSC-NL cannot entirely rule out the possibility of errors, and therefore cannot give any warranty in respect of its completeness, accuracy or continuous keeping up-to-date. The information contained in this security advisory is intended solely for the purpose of providing general information to professional users. No rights can be derived from the information provided therein. NCSC-NL and the Kingdom of the Netherlands assume no legal liability or responsibility for any damage resulting from either the use or inability of use of this security advisory. This includes damage resulting from the inaccuracy of incompleteness of the information contained in the advisory. This security advisory is subject to Dutch law. All disputes related to or arising from the use of this advisory will be submitted to the competent court in The Hague. This choice of means also applies to the court in summary proceedings.
Feiten
Ivanti heeft kwetsbaarheden verholpen in Connect Secure en Policy Secure.
Interpretaties
De eerste kwetsbaarheid (CVE-2025-0282) kan door kwaadwillenden misbruikt worden om zonder authenticatie op afstand willekeurige code uit te voeren. De tweede kwetsbaarheid (CVE-2025-0283) kan door een lokaal geauthenticeerde kwaadwillende misbruikt worden om de rechten te verhogen. Ivanti geeft aan dat CVE-2025-0282 actief misbruikt word bij gebruikers van Connect Secure. Ivanti adviseert om de interne en externe Integrity Checker Tools (ICT) te gebruiken op betreffende apparatuur, de interne integrity check tool zou echter mogelijk door malafide handelingen niet correct werken. Het NCSC adviseert ook de Integrity Checker Tools (ICT) in te zetten om mogelijk misbruik te kunnen detecteren. In de aanval zouden mogelijk meerdere persistence technieken zijn toegepast, een daarvan is het blokkeren van een legitieme patch en in plaats daarvan een schijn patch op het scherm weer te geven als het systeem gepatched word. Dit zou betekenen dat de update die zou zijn uitgevoerd niet correct is en mogelijk zou een kwaadwillende nog steeds toegang hebben tot het apparaat. Ook adviseert Ivanti om bij onderkenning van eerder misbruik betreffende apparatuur te factory resetten en de versie terug te zetten naar 22.7R2.5. Het is belangrijk dat bij tekenen van misbruik credentials en API tokens worden geroteerd, deze zouden mogelijk gestolen kunnen zijn.
Oplossingen
Ivanti heeft patches uitgebracht om de kwetsbaarheid te verhelpen in Connect Secure versie 22.7R2.5. Gebruikers van Connect Secure worden daarnaast door Ivanti dringend geadviseerd om de integriteit van het systeem met de interne en externe Integrity Checker Tools (ICT) te onderzoeken. Hiermee kunnen mogelijke antiforensische handelingen worden gedetecteerd. Voor Policy Secure zal naar verwachting op 21 januari een patch beschikbaar komen. Dit product hoort echter normaliter niet via het internet bereikbaar te zijn en er is dan ook geen actief misbruik van de kwetsbaarheden in Policy Secure bekend. Google TI heeft een blog geschreven over het misbruik met meerdere indicators of compromise (IoC's) welke kunnen ondersteunen bij onderzoek. Zie bijgevoegde referenties voor meer informatie.
Kans
high
Schade
high
CWE-121
Stack-based Buffer Overflow


To clipboard 

{
  "document": {
    "category": "csaf_security_advisory",
    "csaf_version": "2.0",
    "distribution": {
      "tlp": {
        "label": "WHITE"
      }
    },
    "lang": "nl",
    "notes": [
      {
        "category": "legal_disclaimer",
        "text": "The Netherlands Cyber Security Center (henceforth: NCSC-NL) maintains this page to enhance access to its information and security advisories. The use of this security advisory is subject to the following terms and conditions:\n\n    NCSC-NL makes every reasonable effort to ensure that the content of this page is kept up to date, and that it is accurate and complete. Nevertheless, NCSC-NL cannot entirely rule out the possibility of errors, and therefore cannot give any warranty in respect of its completeness, accuracy or continuous keeping up-to-date. The information contained in this security advisory is intended solely for the purpose of providing general information to professional users. No rights can be derived from the information provided therein.\n\n    NCSC-NL and the Kingdom of the Netherlands assume no legal liability or responsibility for any damage resulting from either the use or inability of use of this security advisory. This includes damage resulting from the inaccuracy of incompleteness of the information contained in the advisory.\n    This security advisory is subject to Dutch law. All disputes related to or arising from the use of this advisory will be submitted to the competent court in The Hague. This choice of means also applies to the court in summary proceedings."
      },
      {
        "category": "description",
        "text": "Ivanti heeft kwetsbaarheden verholpen in Connect Secure en Policy Secure.",
        "title": "Feiten"
      },
      {
        "category": "description",
        "text": "De eerste kwetsbaarheid (CVE-2025-0282) kan door kwaadwillenden misbruikt worden om zonder authenticatie op afstand willekeurige code uit te voeren. De tweede kwetsbaarheid (CVE-2025-0283) kan door een lokaal geauthenticeerde kwaadwillende misbruikt worden om de rechten te verhogen.\n\nIvanti geeft aan dat CVE-2025-0282 actief misbruikt word bij gebruikers van Connect Secure.\n\nIvanti adviseert om de interne en externe Integrity Checker Tools (ICT) te gebruiken op betreffende apparatuur, de interne integrity check tool zou echter mogelijk door malafide handelingen niet correct werken. Het NCSC adviseert ook de Integrity Checker Tools (ICT) in te zetten om mogelijk misbruik te kunnen detecteren. In de aanval zouden mogelijk meerdere persistence technieken zijn toegepast, een daarvan is het blokkeren van een legitieme patch en in plaats daarvan een schijn patch op het scherm weer te geven als het systeem gepatched word. Dit zou betekenen dat de update die zou zijn uitgevoerd niet correct is en mogelijk zou een kwaadwillende nog steeds toegang hebben tot het apparaat. Ook adviseert Ivanti om bij onderkenning van eerder misbruik betreffende apparatuur te factory resetten en de versie terug te zetten naar 22.7R2.5. Het is belangrijk dat bij tekenen van misbruik credentials en API tokens worden geroteerd, deze zouden mogelijk gestolen kunnen zijn.\n",
        "title": "Interpretaties"
      },
      {
        "category": "description",
        "text": "Ivanti heeft patches uitgebracht om de kwetsbaarheid te verhelpen in Connect Secure versie 22.7R2.5. Gebruikers van Connect Secure worden daarnaast door Ivanti dringend geadviseerd om de integriteit van het systeem met de interne en externe Integrity Checker Tools (ICT) te onderzoeken. Hiermee kunnen mogelijke antiforensische handelingen worden gedetecteerd.\n\nVoor Policy Secure zal naar verwachting op 21 januari een patch beschikbaar komen. Dit product hoort echter normaliter niet via het internet bereikbaar te zijn en er is dan ook geen actief misbruik van de kwetsbaarheden in Policy Secure bekend.\n\nGoogle TI heeft een blog geschreven over het misbruik met meerdere indicators of compromise (IoC\u0027s) welke kunnen ondersteunen bij onderzoek. \n\nZie bijgevoegde referenties voor meer informatie.\n",
        "title": "Oplossingen"
      },
      {
        "category": "general",
        "text": "high",
        "title": "Kans"
      },
      {
        "category": "general",
        "text": "high",
        "title": "Schade"
      },
      {
        "category": "general",
        "text": "Stack-based Buffer Overflow",
        "title": "CWE-121"
      }
    ],
    "publisher": {
      "category": "coordinator",
      "contact_details": "cert@ncsc.nl",
      "name": "Nationaal Cyber Security Centrum",
      "namespace": "https://www.ncsc.nl/"
    },
    "references": [
      {
        "category": "external",
        "summary": "Reference - ncscclear",
        "url": "https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-Policy-Secure-ZTA-Gateways-CVE-2025-0282-CVE-2025-0283?language=en_US"
      },
      {
        "category": "external",
        "summary": "Reference - ncscclear",
        "url": "https://cloud.google.com/blog/topics/threat-intelligence/ivanti-connect-secure-vpn-zero-day/"
      }
    ],
    "title": "Kwetsbaarheden verholpen in Ivanti Connect Secure en Policy Secure",
    "tracking": {
      "current_release_date": "2025-01-09T14:05:53.160955Z",
      "id": "NCSC-2025-0005",
      "initial_release_date": "2025-01-08T18:55:33.983262Z",
      "revision_history": [
        {
          "date": "2025-01-08T18:55:33.983262Z",
          "number": "0",
          "summary": "Initiele versie"
        },
        {
          "date": "2025-01-09T13:42:48.428306Z",
          "number": "1",
          "summary": "Ivanti adviseert om de interne en externe Integrity Checker Tools (ICT) te gebruiken op betreffende apparatuur, de interne integrity check tool zou echter mogelijk door malafide handelingen niet correct werken. Uit open bronnen blijkt dat er antiforensische methoden zouden zijn toegepast welke, bij eerder misbruik, niet enkel met een patch zouden kunnen worden opgelost. "
        },
        {
          "date": "2025-01-09T13:49:52.970276Z",
          "number": "2",
          "summary": "Het NCSC adviseert ook de Integrity Checker Tools (ICT) in te zetten om mogelijk misbruik te kunnen detecteren, deze is alleen beschibaar voor versie 22.7R2.5.*"
        },
        {
          "date": "2025-01-09T14:05:53.160955Z",
          "number": "3",
          "summary": "Ivanti adviseert om de Integrity Checker Tools (ICT) te gebruiken. Zie de Ivanti advisory voor meer informatie. "
        }
      ],
      "status": "final",
      "version": "1.0.3"
    }
  },
  "product_tree": {
    "branches": [
      {
        "branches": [
          {
            "category": "product_name",
            "name": "connect_secure",
            "product": {
              "name": "connect_secure",
              "product_id": "CSAFPID-505697",
              "product_identification_helper": {
                "cpe": "cpe:2.3:a:ivanti:connect_secure:*:*:*:*:*:*:*:*"
              }
            }
          },
          {
            "category": "product_name",
            "name": "policy_secure",
            "product": {
              "name": "policy_secure",
              "product_id": "CSAFPID-505693",
              "product_identification_helper": {
                "cpe": "cpe:2.3:a:ivanti:policy_secure:*:*:*:*:*:*:*:*"
              }
            }
          }
        ],
        "category": "vendor",
        "name": "ivanti"
      }
    ]
  },
  "vulnerabilities": [
    {
      "cve": "CVE-2025-0282",
      "cwe": {
        "id": "CWE-121",
        "name": "Stack-based Buffer Overflow"
      },
      "notes": [
        {
          "category": "other",
          "text": "Stack-based Buffer Overflow",
          "title": "CWE-121"
        }
      ],
      "product_status": {
        "known_affected": [
          "CSAFPID-505697",
          "CSAFPID-505693"
        ]
      },
      "references": [
        {
          "category": "self",
          "summary": "CVE-2025-0282",
          "url": "https://api.ncsc.nl/velma/v1/vulnerabilities/2025/CVE-2025-0282.json"
        }
      ],
      "scores": [
        {
          "cvss_v3": {
            "baseScore": 9.0,
            "baseSeverity": "CRITICAL",
            "vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H",
            "version": "3.1"
          },
          "products": [
            "CSAFPID-505697",
            "CSAFPID-505693"
          ]
        }
      ],
      "title": "CVE-2025-0282"
    },
    {
      "cve": "CVE-2025-0283",
      "cwe": {
        "id": "CWE-121",
        "name": "Stack-based Buffer Overflow"
      },
      "notes": [
        {
          "category": "other",
          "text": "Stack-based Buffer Overflow",
          "title": "CWE-121"
        }
      ],
      "product_status": {
        "known_affected": [
          "CSAFPID-505697",
          "CSAFPID-505693"
        ]
      },
      "references": [
        {
          "category": "self",
          "summary": "CVE-2025-0283",
          "url": "https://api.ncsc.nl/velma/v1/vulnerabilities/2025/CVE-2025-0283.json"
        }
      ],
      "scores": [
        {
          "cvss_v3": {
            "baseScore": 7.0,
            "baseSeverity": "HIGH",
            "vectorString": "CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H",
            "version": "3.1"
          },
          "products": [
            "CSAFPID-505697",
            "CSAFPID-505693"
          ]
        }
      ],
      "title": "CVE-2025-0283"
    }
  ]
}


Log in or create an account to share your comment.




Tags
Taxonomy of the tags.




Sightings

Author Source Type Date

Nomenclature

  • Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
  • Confirmed: The vulnerability is confirmed from an analyst perspective.
  • Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
  • Patched: This vulnerability was successfully patched by the user reporting the sighting.
  • Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
  • Not confirmed: The user expresses doubt about the veracity of the vulnerability.
  • Not patched: This vulnerability was not successfully patched by the user reporting the sighting.