ivantiunlocker

Previeni CVE-2025-22457 e altri problemi di sicurezza con Juniper/Ivanti Secure Connect SSL VPN

Molti problemi di sicurezza hanno riguardato i dispositivi SSL VPN di recente. Non puoi più sentirti al sicuro. E poi c'è CVE-2025-22457 ! Leggi la storia dietro : https://labs.watchtowr.com/is-the-sofistication-in-the-room-with-us-x-forwarded-for-and-ivanti-connect-secure-cve-2025-22457/ POST / HTTP/1.1 X-Forwarded-For: 1111111111111111111111111111111... aprirà la porta al tuo appliance !

Guarda l'exploit funzionante : https://github.com/sfewer-r7/CVE-2025-22457

Poiché abbiamo un PSA3000 e non è disponibile alcun aggiornamento del firmware per risolvere questo problema, è ovvio che Ivanti vuole spingerti ad acquistare nuovi dispositivi come ISA6000 per 10.000 USD+. Immagino che tu li compri e che comunque si verifichino i prossimi problemi di sicurezza.

Ma abbiamo trovato un modo per uscire dalla ruota del criceto. Devi avere un gate di rete davanti al dispositivo SSL VPN con solide regole firewall. Puoi farlo nel modo difficile con un server OpenVPN o Wireshark aggiuntivo. Oppure puoi farlo in modo soft, più comodo per i tuoi visitatori. Il nostro approccio è facile da implementare, facile da usare ed estremamente efficiente, perché impedisce a qualsiasi attaccante anche solo di rilevarti o di avere la possibilità di connettersi all' appliance.

Il gateway è un semplice webserver scritto in Python (ascolta sulla porta HTTPS 443 invece della SSL VPN) che presenta al visitatore una casella per l'inserimento della password. Quando viene inserita la password corretta l'IP del visitatore riceve le regole firewall FORWARD/PREROUTING e quindi può accedere immediatamente al dispositivo SSL VPN con lo stesso URL/porta.

Questo è solo un possibile approccio. Potresti anche avere combinazioni utente/password, un tastierino PIN, certificati utente, usare 2FA Authelia, ecc... Ma alla fine devi gestirlo con regole firewall, perché i dispositivi SSL VPN non amano se termini SSL/TLS altrove. Inoltre, solo così puoi nasconderti completamente dagli attaccanti, il che previene qualsiasi futuro problema di violazione della sicurezza CVE.