CVE-2025-0282 — Ivanti Connect Secure / Policy Secure / ZTA Gateways スタックベースのバッファオーバーフローによる RCE

CVSS 9.0 — 重大 | 活発に悪用されているゼロデイ | 2025年1月に発見

概要

CVE-2025-0282 は、Ivanti Connect Secure (ICS)、Ivanti Policy Secure (IPS)、Ivanti ZTA Gateways の IFT/TLS 処理コンポーネントにおけるスタックベースのバッファオーバーフロー脆弱性 (CWE-121 / CWE-787) です。この欠陥により、認証されていないリモートの攻撃者が、対象のアプライアンス上で root 権限による任意のコード実行を達成できます。

この脆弱性は、ゼロデイとして活発に悪用されていることが確認された後、2025年1月8日に公開されました。これは、Mandiant によって UNC5337 として追跡されている中国関連の脅威アクターによるものとされています。CISA は、公開から72時間以内にこの CVE を既知の悪用された脆弱性 (KEV) カタログに追加しました。

技術的詳細

根本原因

この脆弱性は、アプライアンスの HTTPS 管理インターフェースの IFT (内部転送テーブル) / TLS パケット処理パスに存在します。不正な TLS ハンドシェイクメッセージまたは特別に細工された IFT フレームを解析する際、コードは攻撃者が制御するデータを適切な境界チェックなしに固定サイズのスタックバッファにコピーします：

memcpy(stack_buffer, attacker_data, attacker_controlled_length);  // no length check

宛先バッファはスタック上に存在するため、過大なペイロードは以下を上書きします：

• ローカル変数 — プログラムのロジックを変更できる
• 保存された戻りアドレス (RIP/RA) — ROP または直接的なコード実行を可能にする
• SEH チェーン (Windows ベースのバージョン) — SEH の上書きを可能にする

攻撃ベクトル

悪用の特徴

• 攻撃チェーン全体が認証を必要としない
• 悪用はTLS ハンドシェイク段階、つまりアプリケーション層の認証前に発生する
• 公開されている PoC コードは、細工された TLS レコード内の大きな物理フレームサイズフィールド (>65535 バイト) を利用して、1024 バイトのスタックバッファをオーバーフローさせる
• 悪用に成功すると、アプライアンス上でroot シェルが得られる
• UNC5337 による侵害後活動には、資格情報のダンプ、トンネルのインストール、横移動が含まれていた

影響を受けるバージョン

注意: Ivanti は 22.6 リリースラインも脆弱であることを確認しています。ICS 9.x または 22.4 を使用中の顧客も同様に危険にさらされています。

検出の兆候

• HTTPS 管理インターフェースのログにおける予期しない TLS ハンドシェイクサイズ
• sslvpn または dsaccess サービスでアクセス違反によるプロセスクラッシュ
• 予定外のアプライアンスの再起動
• /tmp/*.py、.sslvpn_config_upload などのファイル、または予期しない cron エントリの存在
• アプライアンスから UNC5337 インフラストラクチャに関連する IP への外部接続

再現手順

前提条件

• Python 3.8+
• 対象の Ivanti アプライアンス (許可されたテスト環境のみ)
• HTTPS 管理インターフェースへのネットワークアクセス (デフォルトでポート 8443)
• Python モジュール scapy、socket、ssl

セットアップ

1. このリポジトリをクローンします：

   root@kitploit:~

   git clone https://github.com/your-org/cve-2025-0282-reproduction
   cd cve-2025-0282-reproduction
   

2. 依存関係をインストールします：

   root@kitploit:~

   pip install -r requirements.txt
   

   (依存関係: scapy、argparse、socket — socket は標準ライブラリ)

実行

1. ターゲットに対して PoC を実行します：

   root@kitploit:~

   python exploit.py --target 192.168.1.100 --port 8443
   

2. カスタムペイロードサイズを指定する場合：

   root@kitploit:~

   python exploit.py --target 192.168.1.100 --port 8443 --payload-size 4096
   

3. デバッグ出力を有効にする場合：

   root@kitploit:~

   python exploit.py --target 192.168.1.100 --port 8443 --verbose
   

PoC の動作

1. ターゲットの HTTPS 管理インターフェースへの TCP 接続を開く
2. 標準の TLS ClientHello を送信する
3. ServerHello を受信すると、PoC は過大な IFT フレームサイズフィールドを持つ不正な TLS レコードを注入する
4. この不正なレコードにより、境界チェックなしで 1024 バイトのスタックバッファへの memcpy がトリガーされる
5. オーバーフローがスタックを破壊し、概念実証 (PoC) のクラッシュ (セグメンテーション違反またはアクセス違反) を引き起こす
6. 完全なエクスプロイトでは、このクラッシュは任意のコードを実行する ROP チェーンに置き換えられる

重要: 提供されるコードは教育および許可されたテストのみを目的としています。これはバッファオーバーフローの状態を実証するものであり、パッチ未適用のターゲットではサービス拒否 (クラッシュ) を引き起こします。自分が所有していない、または書面によるテスト許可を得ていないシステムに対してこれを実行することは違法です。

PoC コード

このリポジトリの exploit.py を参照してください。

スクリプトは以下の引数を受け付けます：

usage: exploit.py [-h] --target TARGET [--port PORT] [--payload-size PAYLOAD_SIZE] [--verbose]

CVE-2025-0282 Ivanti Stack Buffer Overflow Reproduction PoC

options:
  -h, --help            show this help message and exit
  --target TARGET       Target Ivanti appliance IP or hostname
  --port PORT           Target port (default: 8443)
  --payload-size PAYLOAD_SIZE
                        Size of overflow payload in bytes (default: 4096)
  --verbose             Enable verbose/debug output

緩和策

回避策 (パッチ適用が遅れる場合)

• 管理インターフェースの前面に TLS レコードサイズチェックルールを持つ WAF/IPS を導入する
• 外部に面したネットワークインターフェースで管理インターフェースを無効化する
• Ivanti の外部整合性チェッカー (IC) ツールを使用してアプライアンスの整合性を検証する

参考情報

• NIST NVD CVE-2025-0282
• CISA KEV CVE-2025-0282
• Mandiant / UNC5337 分析
• Ivanti セキュリティアドバイザリ
• ATT&CK: 公開アプリケーションの悪用 (T1190)
• CWE-121: スタックベースのバッファオーバーフロー
• CWE-787: 領域外書き込み

免責事項

このリポジトリは許可されたセキュリティ研究および教育目的のみで提供されています。著者はこのコードの不正使用について一切責任を負いません。CVE-2025-0282 の無許可の悪用は違法かつ非倫理的です。システムをテストする前に必ず明示的な書面による許可を取得してください。