ivantiunlocker

Verhindern Sie CVE-2025-22457 und andere Sicherheitsprobleme mit Juniper/Ivanti Secure Connect SSL VPN

Viele Sicherheitsprobleme rund um SSL-VPN-Geräte in letzter Zeit. Man kann sich nicht mehr sicher fühlen. Und dann gibt es CVE-2025-22457 ! Lesen Sie die Geschichte dahinter : https://labs.watchtowr.com/is-the-sofistication-in-the-room-with-us-x-forwarded-for-and-ivanti-connect-secure-cve-2025-22457/ POST / HTTP/1.1 X-Forwarded-For: 1111111111111111111111111111111... wird die Tür zu Ihrem Gerät öffnen !

Sehen Sie sich den funktionierenden Exploit an : https://github.com/sfewer-r7/CVE-2025-22457

Da wir PSA3000 haben und kein Firmware-Update zur Behebung dieses Problems verfügbar ist, ist es offensichtlich, dass Ivanti Sie dazu drängen möchte, neue Geräte wie ISA6000 für 10.000 USD+ zu kaufen. Ich nehme an, Sie kaufen das, und dann werden die nächsten Sicherheitsprobleme trotzdem auftreten.

Aber wir haben einen Weg gefunden, aus dem Hamsterrad auszusteigen. Sie benötigen ein Netzwerk-Gate vor dem SSL-VPN-Gerät mit soliden Firewall-Regeln. Sie können dies auf die harte Tour mit einem zusätzlichen OpenVPN- oder Wireshark-Server tun. Oder Sie können es auf eine sanfte Weise tun, die für Ihre Besucher bequemer ist. Unser Ansatz ist einfach zu implementieren, einfach zu bedienen und hoch effizient, da er verhindert, dass ein Angreifer Sie überhaupt erkennt oder die Möglichkeit hat, sich mit dem Gerät zu verbinden.

Das Gateway ist ein einfacher, in Python geschriebener Webserver (hört auf HTTPS-Port 443 anstelle von SSL VPN), der dem Besucher ein Passwort-Eingabefeld präsentiert. Wenn das richtige Passwort eingegeben wird, erhält die IP des Besuchers FORWARD/PREROUTING-Firewall-Einträge und kann dann sofort mit derselben URL/demselben Port auf das SSL-VPN-Gerät zugreifen.

Dies ist nur ein möglicher Ansatz. Sie könnten auch Benutzer/Passwort-Kombinationen, ein Pin-Pad, Benutzerzertifikate, 2FA Authelia usw. verwenden... Aber letztendlich müssen Sie es mit Firewall-Regeln handhaben, weil SSL-VPN-Geräte es nicht mögen, wenn Sie SSL/TLS woanders terminieren. Auch nur so können Sie sich vollständig vor Angreifern verstecken, was jedes zukünftige CVE-Sicherheitsproblem verhindert.