CVE-2025-22457 やその他のセキュリティ問題を Juniper/Ivanti Secure Connect SSL VPN で防ぐ
最近、SSL VPN デバイスをめぐる多くのセキュリティ問題が発生しています。もう安心できません。そして、CVE-2025-22457 が登場しました！ その背景はこちらでお読みください： https://labs.watchtowr.com/is-the-sofistication-in-the-room-with-us-x-forwarded-for-and-ivanti-connect-secure-cve-2025-22457/ POST / HTTP/1.1 X-Forwarded-For: 1111111111111111111111111111111... があなたのアプライアンスへの扉を開きます！
実際のエクスプロイトはこちら： https://github.com/sfewer-r7/CVE-2025-22457
我々は PSA3000 を保有しており、この問題を修正するファームウェアアップデートが提供されていないため、Ivanti が新しいデバイス（ISA6000 など、10,000 USD+）の購入を促しているのは明らかです。それを購入しても、次々とセキュリティ問題が発生するでしょう。
しかし、私たちはハムスターホイールから抜け出す方法を見つけました。堅牢なファイアウォールルールで SSL VPN アプライアンスの前にネットワークゲートを設置する必要があります。これは、追加の OpenVPN や Wireshark サーバーを用意するハードな方法でも、訪問者にとってより快適なソフトな方法でも実現できます。私たちのアプローチは実装が簡単で、使いやすく、非常に効率的です。攻撃者にアプライアンスを検出されたり、接続する可能性を完全に防ぐからです。
ゲートウェイはシンプルな Python で書かれた Web サーバー（SSL VPN の代わりに HTTPS ポート 443 で待ち受け）で、訪問者にパスワード入力ボックスを表示します。正しいパスワードが入力されると、訪問者の IP に FORWARD/PREROUTING ファイアウォールエントリが追加され、同じ URL/ポートですぐに SSL VPN デバイスにアクセスできるようになります。
これは単なる一つのアプローチです。ユーザー/パスワードの組み合わせ、ピンパッド、ユーザー証明書、2FA の Authelia などを使用することもできます。しかし結局のところ、SSL VPN デバイスは他の場所で SSL/TLS を終端することを嫌うため、ファイアウォールルールで処理する必要があります。また、この方法でのみ攻撃者から完全に隠れることができ、将来の CVE セキュリティ侵害問題を防ぐことができます。
