CVE-2025-22457

CVE-2025-22457: Scanner di exploit POC in Python per rilevare Ivanti Connect Secure RCE

Questo script aiuta a identificare i gateway Ivanti Connect Secure, Policy Secure o ZTA che potrebbero essere vulnerabili a CVE-2025-22457, un overflow del buffer basato su stack, non autenticato e critico, nel processo web, innescato tramite un header X-Forwarded-For appositamente costruito. Può anche identificare la versione dei target remoti estraendo le informazioni sulla versione dalla risposta HTTP.

Ispirato dal lavoro iniziale per creare un template Nuclei, questo script è stato creato dopo aver scoperto che Nuclei non poteva gestire i casi in cui non viene ricevuta alcuna risposta dal target, condizione essenziale per rilevare in modo affidabile questo problema.

📖 Contesto

Ricerca e divulgazione originali:

• watchTowr Labs Blog

• Redline Blog)

Query Shodan: http.favicon.hash:-485487831

4,260 risultati al 9 aprile 2025

Quando il payload ha successo, il sistema target registra: ERROR31093: Program web recently failed.

Questo può essere usato per creare rilevamenti basati sui log in aggiunta alla scansione.

🔍 Come Funziona

Lo script invia un header X-Forwarded-For lungo agli endpoint .cgi vulnerabili. Supporta due modalità:

Modalità Rapida (predefinita)

• Identifica il target tramite fingerprint e recupera la versione
• Determina se è vulnerabile basandosi solo sulla versione, senza alcun tentativo di innescare il buffer overflow.

Modalità Dettagliata

• Invia una richiesta di pre-controllo e si aspetta HTTP 200.
• Invia il payload di crash e si aspetta nessuna risposta.
• Invia una richiesta di follow-up per assicurarsi che il crash non fosse accidentale.
• Solo se tutti e tre i passaggi si comportano come previsto, il sistema viene contrassegnato come vulnerabile.

🛠 Utilizzo

Installa i requisiti:

pip install requests

Scansiona un singolo target

python cve_2025_22457_check.py --target https://example.com

Usa la modalità dettagliata

python cve_2025_22457_check.py --target https://example.com --mode detailed

Scansiona un elenco di target da file

python cve_2025_22457_check.py --input targets.txt --mode detailed

Scrivi i risultati in un file

python cve_2025_22457_check.py --input targets.txt --mode detailed --output vulnerable.txt

📌 Come Funziona

Il percorso predefinito /dana-na/auth/url_default/welcome.cgi può essere modificato dagli amministratori Ivanti e può portare a falsi negativi.

È incluso un secondo percorso hardcoded /dana-na/setup/psaldownload.cgi, che non può essere modificato e innesca comunque la vulnerabilità. Qualsiasi endpoint .cgi risulta potenzialmente interessato.

✅ Output di esempio

Pre-check successful (HTTP 200)
No response to payload (expected crash behavior).
Follow-up request returned HTTP 200. Crash condition verified.
VULNERABLE: https://example.com/dana-na/setup/psaldownload.cgi