cve-2025-0282-ivanti_rce_reproduction

Reprodução de cve-2025-0282-ivanti_rce_reproduction

Como o buffer de destino reside na pilha, um payload superdimensionado sobrescreve:

• Variáveis locais — podem alterar a lógica do programa
• Endereço de retorno salvo (RIP/RA) — possibilita ROP ou execução direta de código
• Cadeia SEH (versões baseadas em Windows) — possibilita sobrescrita de SEH

Vetor de Ataque

Características da Exploração

• A cadeia completa não exige autenticação
• A exploração ocorre na etapa de handshake TLS, antes da autenticação na camada de aplicação
• O código PoC público utiliza um campo de tamanho de quadro físico grande (>65535 bytes) em um registro TLS especialmente criado para estourar um buffer de pilha de 1024 bytes
• A exploração bem-sucedida fornece um shell root no dispositivo
• A atividade pós-exploração do UNC5337 incluiu extração de credenciais, instalação de túneis e movimento lateral

Versões Afetadas

Observação: A Ivanti confirmou que a linha de versões 22.6 também é vulnerável. Clientes que ainda utilizam ICS 9.x ou 22.4 estão igualmente expostos.

Indicadores de Detecção

• Tamanhos inesperados de handshake TLS nos logs da interface de gerenciamento HTTPS
• Processos falhando com violações de acesso nos serviços sslvpn ou dsaccess
• Reinicializações não programadas do dispositivo
• Presença de arquivos como /tmp/*.py, .sslvpn_config_upload ou entradas inesperadas no cron
• Conexões de saída do dispositivo para IPs associados à infraestrutura do UNC5337

Etapas de Reprodução

Pré-requisitos

• Python 3.8+
• Um dispositivo Ivanti alvo (apenas em ambiente de teste autorizado)
• Acesso de rede à interface de gerenciamento HTTPS (porta 8443 por padrão)
• Módulos Python scapy, socket e ssl

Configuração

1. Clone este repositório:

   root@kitploit:~

   git clone https://github.com/your-org/cve-2025-0282-reproduction
   cd cve-2025-0282-reproduction
   

2. Instale as dependências:

   root@kitploit:~

   pip install -r requirements.txt
   

   (Requisitos: scapy, argparse, socket — socket é stdlib)

Execução

1. Execute o PoC contra o alvo:

   root@kitploit:~

   python exploit.py --target 192.168.1.100 --port 8443
   

2. Para especificar um tamanho de payload personalizado:

   root@kitploit:~

   python exploit.py --target 192.168.1.100 --port 8443 --payload-size 4096
   

3. Ative a saída de depuração:

   root@kitploit:~

   python exploit.py --target 192.168.1.100 --port 8443 --verbose
   

O Que o PoC Faz

1. Abre uma conexão TCP com a interface de gerenciamento HTTPS do alvo
2. Envia um ClientHello TLS padrão
3. Ao receber o ServerHello, o PoC injeta um registro TLS malformado com um campo de tamanho de quadro IFT superdimensionado
4. Esse registro malformado dispara o memcpy em um buffer de pilha de 1024 bytes sem verificação de limites
5. O estouro corrompe a pilha, proporcionando uma falha de prova de conceito (segmentation fault ou violação de acesso)
6. Em uma exploração completa, essa falha seria substituída por uma cadeia ROP que executa código arbitrário

Importante: O código fornecido é apenas para fins educacionais e testes autorizados. Ele demonstra a condição de estouro de buffer e causará uma negação de serviço (falha) em alvos sem patch. Executar isso contra sistemas que você não possui ou sem permissão por escrito para testar é ilegal.

Código PoC

Consulte exploit.py neste repositório.

O script aceita os seguintes argumentos:

Mitigação

Soluções Alternativas (se o patch for adiado)

• Implante um WAF/IPS com uma regra de verificação de tamanho de registro TLS na frente da interface de gerenciamento
• Desabilite a interface de gerenciamento em interfaces de rede voltadas para o exterior
• Use a ferramenta External Integrity Checker (IC) da Ivanti para verificar a integridade do dispositivo

Referências

• NIST NVD CVE-2025-0282
• CISA KEV CVE-2025-0282
• Análise da Mandiant / UNC5337
• Comunicado de Segurança da Ivanti
• ATT&CK: Exploração de Aplicação Exposta ao Público (T1190)
• CWE-121: Estouro de Buffer Baseado na Pilha
• CWE-787: Gravação Fora dos Limites

Aviso Legal

Este repositório é fornecido apenas para pesquisa de segurança autorizada e fins educacionais. Os autores não são responsáveis por qualquer uso indevido deste código. A exploração não autorizada de CVE-2025-0282 é ilegal e antiética. Sempre obtenha permissão explícita por escrito antes de testar qualquer sistema.