CVE-2025-0282 — Ivanti Connect Secure / Policy Secure / ZTA गेटवे स्टैक-आधारित बफर ओवरफ्लो RCE

CVSS 9.0 — गंभीर | सक्रिय रूप से शोषित ज़ीरो-डे | जनवरी 2025 में खोजा गया

अवलोकन

CVE-2025-0282, Ivanti Connect Secure (ICS), Ivanti Policy Secure (IPS), और Ivanti ZTA गेटवेज़ के IFT/TLS हैंडलिंग घटक में एक स्टैक-आधारित बफर ओवरफ्लो भेद्यता (CWE-121 / CWE-787) है। यह दोष एक अप्रमाणित, दूरस्थ हमलावर को लक्षित उपकरण पर रूट विशेषाधिकारों के साथ मनमाना कोड निष्पादन प्राप्त करने की अनुमति देता है।

यह भेद्यता 8 जनवरी 2025 को सार्वजनिक की गई थी, जब इसे ज़ीरो-डे के रूप में सक्रिय शोषण में देखा गया था। इसे Mandiant द्वारा ट्रैक किए जा रहे चीन-संबंधित खतरे वाले अभिनेता UNC5337 से जोड़ा गया। CISA ने सार्वजनिक प्रकटीकरण के 72 घंटों के भीतर इस CVE को अपनी Known Exploited Vulnerabilities (KEV) कैटलॉग में जोड़ दिया।

तकनीकी विवरण

मूल कारण

यह भेद्यता उपकरण के HTTPS प्रबंधन इंटरफ़ेस के IFT (Internal Forwarding Table) / TLS पैकेट प्रोसेसिंग पथ में स्थित है। जब गलत-प्रारूप वाले TLS हैंडशेक संदेशों या विशेष रूप से तैयार किए गए IFT फ्रेमों को पार्स किया जाता है, तो कोड हमलावर-नियंत्रित डेटा को उचित बाउंड्स जाँच के बिना एक निश्चित-आकार के स्टैक बफर में कॉपी करता है:

memcpy(stack_buffer, attacker_data, attacker_controlled_length);  // no length check

चूँकि गंतव्य बफर स्टैक पर स्थित होता है, एक अत्यधिक बड़ा पेलोड निम्नलिखित को अधिलेखित कर देता है:

• लोकल वेरिएबल — प्रोग्राम लॉजिक बदल सकते हैं
• सेव किया गया रिटर्न पता (RIP/RA) — ROP या प्रत्यक्ष कोड निष्पादन सक्षम करता है
• SEH चेन (विंडोज़-आधारित संस्करण) — SEH अधिलेखन सक्षम करता है

हमला वेक्टर

शोषण विशेषताएँ

• पूरी श्रृंखला को प्रमाणीकरण की आवश्यकता नहीं होती है
• शोषण TLS हैंडशेक चरण में होता है, एप्लिकेशन-लेयर प्रमाणीकरण से पहले
• सार्वजनिक PoC कोड एक तैयार किए गए TLS रिकॉर्ड में बड़े फिजिकल फ्रेम आकार फ़ील्ड (>65535 बाइट्स) का उपयोग करके 1024-बाइट स्टैक बफर को ओवरफ्लो करता है
• सफल शोषण उपकरण पर रूट शेल प्रदान करता है
• UNC5337 की पोस्ट-एक्सप्लॉइटेशन गतिविधि में क्रेडेंशियल डंपिंग, टनल इंस्टॉलेशन और लेटरल मूवमेंट शामिल थे

प्रभावित संस्करण

नोट: Ivanti ने पुष्टि की है कि 22.6 रिलीज़ लाइन भी भेद्य है। जो ग्राहक अभी भी ICS 9.x या 22.4 पर हैं, वे समान रूप से जोखिम में हैं।

पता लगाने के संकेतक

• HTTPS प्रबंधन इंटरफ़ेस लॉग में अप्रत्याशित TLS हैंडशेक आकार
• sslvpn या dsaccess सेवाओं पर एक्सेस उल्लंघनों के साथ क्रैश होने वाली प्रक्रियाएँ
• अनिर्धारित उपकरण रिबूट
• /tmp/*.py, .sslvpn_config_upload जैसी फ़ाइलों की उपस्थिति, या अप्रत्याशित क्रॉन प्रविष्टियाँ
• उपकरण से UNC5337 इंफ्रास्ट्रक्चर से संबद्ध IPs के लिए आउटबाउंड कनेक्शन

पुनरुत्पादन चरण

पूर्वापेक्षाएँ

• Python 3.8+
• एक लक्षित Ivanti उपकरण (केवल अधिकृत परीक्षण वातावरण)
• HTTPS प्रबंधन इंटरफ़ेस तक नेटवर्क पहुँच (डिफ़ॉल्ट रूप से पोर्ट 8443)
• scapy, socket, और ssl Python मॉड्यूल

सेटअप

1. इस रिपॉजिटरी को क्लोन करें:

   root@kitploit:~

   git clone https://github.com/your-org/cve-2025-0282-reproduction
   cd cve-2025-0282-reproduction
   

2. निर्भरताएँ इंस्टॉल करें:

   root@kitploit:~

   pip install -r requirements.txt
   

   (आवश्यकताएँ: scapy, argparse, socket — socket stdlib में शामिल है)

निष्पादन

1. अपने लक्ष्य के विरुद्ध PoC चलाएँ:

   root@kitploit:~

   python exploit.py --target 192.168.1.100 --port 8443
   

2. कस्टम पेलोड आकार निर्दिष्ट करने के लिए:

   root@kitploit:~

   python exploit.py --target 192.168.1.100 --port 8443 --payload-size 4096
   

3. डीबग आउटपुट सक्षम करें:

   root@kitploit:~

   python exploit.py --target 192.168.1.100 --port 8443 --verbose
   

PoC क्या करता है

1. लक्ष्य के HTTPS प्रबंधन इंटरफ़ेस के लिए TCP कनेक्शन खोलता है
2. एक मानक TLS ClientHello भेजता है
3. ServerHello प्राप्त होने पर, PoC एक अत्यधिक बड़े IFT फ्रेम आकार फ़ील्ड के साथ एक गलत-प्रारूप TLS रिकॉर्ड इंजेक्ट करता है
4. यह गलत-प्रारूप रिकॉर्ड बाउंड्स जाँच के बिना 1024-बाइट स्टैक बफर में memcpy को ट्रिगर करता है
5. ओवरफ्लो स्टैक को दूषित कर देता है, जिससे प्रूफ-ऑफ-कॉन्सेप्ट क्रैश (सेग्मेंटेशन फॉल्ट या एक्सेस उल्लंघन) होता है
6. एक पूर्ण शोषण में, इस क्रैश को एक ROP चेन द्वारा प्रतिस्थापित किया जाएगा जो मनमाना कोड निष्पादित करती है

महत्वपूर्ण: प्रदान किया गया कोड केवल शैक्षिक और अधिकृत परीक्षण के लिए है। यह बफर ओवरफ्लो स्थिति को प्रदर्शित करता है और अनपैच किए गए लक्ष्यों पर डिनायल ऑफ सर्विस (क्रैश) का कारण बनेगा। इसे उन सिस्टमों के विरुद्ध चलाना जिनके स्वामी आप नहीं हैं या जिनके परीक्षण के लिए आपके पास लिखित अनुमति नहीं है, अवैध है।

PoC कोड

इस रिपॉजिटरी में exploit.py देखें।

स्क्रिप्ट निम्नलिखित तर्क स्वीकार करती है:

usage: exploit.py [-h] --target TARGET [--port PORT] [--payload-size PAYLOAD_SIZE] [--verbose]

CVE-2025-0282 Ivanti Stack Buffer Overflow Reproduction PoC

options:
  -h, --help            show this help message and exit
  --target TARGET       Target Ivanti appliance IP or hostname
  --port PORT           Target port (default: 8443)
  --payload-size PAYLOAD_SIZE
                        Size of overflow payload in bytes (default: 4096)
  --verbose             Enable verbose/debug output

शमन

वर्कअराउंड (यदि पैचिंग में देरी हो)

• प्रबंधन इंटरफ़ेस के सामने TLS रिकॉर्ड-आकार जाँच नियम के साथ WAF/IPS तैनात करें
• बाहरी-मुखी नेटवर्क इंटरफ़ेस पर प्रबंधन इंटरफ़ेस को अक्षम करें
• उपकरण अखंडता सत्यापित करने के लिए Ivanti के External Integrity Checker (IC) टूल का उपयोग करें

संदर्भ

• NIST NVD CVE-2025-0282
• CISA KEV CVE-2025-0282
• Mandiant / UNC5337 विश्लेषण
• Ivanti सुरक्षा सलाह
• ATT&CK: पब्लिक-फेसिंग एप्लिकेशन का शोषण (T1190)
• CWE-121: स्टैक-आधारित बफर ओवरफ्लो
• CWE-787: आउट-ऑफ-बाउंड्स राइट

अस्वीकरण

यह रिपॉजिटरी केवल अधिकृत सुरक्षा अनुसंधान और शैक्षिक उद्देश्यों के लिए प्रदान की गई है। लेखक इस कोड के किसी भी दुरुपयोग के लिए ज़िम्मेदार नहीं हैं। CVE-2025-0282 का अनधिकृत शोषण अवैध और अनैतिक है। किसी भी सिस्टम का परीक्षण करने से पहले हमेशा स्पष्ट लिखित अनुमति प्राप्त करें।