ivantiunlocker

منع ثغرة CVE-2025-22457 ومشاكل أمنية أخرى في Juniper/Ivanti Secure Connect SSL VPN

ظهور العديد من المشاكل الأمنية حول أجهزة SSL VPN مؤخرًا. لم يعد بإمكانك الشعور بالأمان. ثم هناك ثغرة CVE-2025-22457! اقرأ القصة وراءها: https://labs.watchtowr.com/is-the-sofistication-in-the-room-with-us-x-forwarded-for-and-ivanti-connect-secure-cve-2025-22457/ POST / HTTP/1.1 X-Forwarded-For: 1111111111111111111111111111111... سيفتح لك الباب إلى جهازك!

اطلع على الاستغلال العملي: https://github.com/sfewer-r7/CVE-2025-22457

بما أن لدينا PSA3000 ولا يوجد تحديث برنامج ثابت متاح لإصلاح هذه المشكلة، فمن الواضح أن Ivanti تريد دفعك لشراء أجهزة جديدة مثل ISA6000 بأكثر من 10,000 دولار أمريكي. أعتقد أنك ستشتري ذلك ثم ستحدث المشاكل الأمنية التالية على أي حال.

لكننا وجدنا طريقة للخروج من عجلة الهامستر. يجب أن يكون لديك بوابة شبكة أمام جهاز SSL VPN عبر قواعد جدار ناري صلبة. يمكنك القيام بذلك بالطريقة الصعبة باستخدام خادم OpenVPN أو Wireshark إضافي. أو يمكنك القيام بذلك بطريقة ناعمة تكون أكثر راحة لزوارك. نهجنا سهل التنفيذ، سهل الاستخدام، وشديد الفعالية لأنه يمنع أي مهاجم حتى من اكتشافك أو من إمكانية الاتصال بالجهاز.

البوابة هي خادم ويب بسيط مكتوب بلغة Python (يستمع على المنفذ HTTPS 443 بدلاً من SSL VPN) يعرض على الزائر مربع إدخال كلمة مرور. عند إدخال كلمة المرور الصحيحة، يحصل عنوان IP الخاص بالزائر على إدخالات جدار ناري FORWARD/PREROUTING ويمكنه بعد ذلك الوصول فورًا إلى جهاز SSL VPN باستخدام نفس الرابط/المنفذ.

هذا مجرد نهج واحد ممكن. يمكنك أيضًا استخدام مجموعات اسم المستخدم/كلمة المرور، لوحة أرقام، شهادات المستخدم، استخدام 2FA Authelia، إلخ... لكن في النهاية تحتاج إلى التعامل معه عبر قواعد جدار ناري لأن أجهزة SSL VPN لا تحب إنهاء SSL/TLS في مكان آخر. أيضًا بهذه الطريقة فقط يمكنك الاختفاء تمامًا من المهاجمين، مما يمنع أي مشكلة اختراق أمني مستقبلية مرتبطة بـ CVE.