Trusted Design

CVE-2025-0282 の詳細

CVEの情報

説明:
A stack-based buffer overflow in Ivanti Connect Secure before version 22.7R2.5, Ivanti Policy Secure before version 22.7R1.2, and Ivanti Neurons for ZTA gateways before version 22.7R2.3 allows a remote unauthenticated attacker to achieve remote code execution.

CVE更新日: 2025-01-08 23:15:09.763000

CVSSバージョン: 3.1

CVSSスコア: 9.0

KEVの情報

KEV更新日: 2025-01-08

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999810000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-0282は、Ivanti Connect Secure、Ivanti Policy Secure、およびIvanti Neurons for ZTAゲートウェイ製品に存在する深刻な脆弱性です。

1. 脆弱性の概要

CVE-2025-0282は、スタックベースのバッファオーバーフローの脆弱性です。この脆弱性は、Ivanti Connect Secureの/home/bin/webバイナリ（HTTPおよびVPNプロトコル、特にIFT-TLSを処理する）に存在します。ネットワークリクエストの入力サイズが不適切に処理されることで発生し、具体的にはclientCapabilitiesブロックが256バイトを超えるとバッファオーバーフローが発生し、リターンアドレスが上書きされることで悪用されます。

1.1 影響

この脆弱性が悪用されると、認証されていない遠隔の攻撃者がリモートコード実行（RCE）を達成できます。これにより、攻撃者は影響を受けるシステムを完全に制御し、悪意のあるファイル（Webシェルなど）のアップロード、権限昇格、および下流のネットワークへの侵害が可能になります。 認証情報の窃取、ラテラルムーブメント、永続的なバックドアの設置、サプライチェーン攻撃につながる可能性があります。 実際に、中国関連のAPTグループによる世界的なサイバースパイキャンペーンで悪用されていることが確認されています。

1.2 深刻度

CVSSv3スコアは9.0で、「Critical（緊急）」と評価されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンではなく、以下のIvanti製品のバージョンが影響を受けます。

  • Ivanti Connect Secure: バージョン22.7R2から22.7R2.4まで（22.7R2.5より前のバージョン）
  • Ivanti Policy Secure: バージョン22.7R1から22.7R1.2まで（22.7R1.2より前のバージョン）
  • Ivanti Neurons for Zero Trust Access (ZTA) gateways: バージョン22.7R2から22.7R2.3まで（22.7R2.3より前のバージョン）

注記: Ivanti Connect Secureの9.x系のコードラインはCVE-2025-0282の影響を受けません。

2.2 影響を受ける設定

この脆弱性は、影響を受けるソフトウェアのネットワークアクセス可能なサービスに存在し、認証なしでトリガーされる可能性があります。 Ivanti Connect Secureのアクセスインターフェースへのリモートアクセスのみが必要とされます。

3. 影響を受けた時の兆候

  • Ivanti Integrity Checker Tool (ICT) によって悪用が検出される可能性があります。
  • IFTエラーなどの異常なログメッセージは、悪用の試行を示唆している場合があります。
  • 脅威ハンティングによって侵害が判明することがあります。
  • 攻撃者はSELinuxを無効にしたり、ファイルシステムを再マウントしたりする可能性があります。
  • SPAWNCHIMERA、SPAWNMOLE、SPAWNSLOTH、SPAWNSNAIL、DslogdRATなどのマルウェアの存在。

4. 推奨対策

4.1 本対策

  • パッチの適用: Ivanti Connect Secureをバージョン22.7R2.5以降、またはIvanti VPNシステムをバージョン23.5.2以降にアップデートしてください。
  • 工場出荷時設定へのリセット: 最高の信頼性を得るためには、特にクラウドおよび仮想システムにおいて、調査後に既知のクリーンな外部イメージを使用して工場出荷時設定にリセットすることが推奨されます。
  • 認証情報の再発行: 管理者パスワードやAPIキーを含む、接続または露出している証明書、キー、およびパスワードを再発行してください。
  • ドメインアカウントの対応: 侵害された製品に関連するドメインアカウントについては、オンプレミスアカウントのパスワードを2回リセットし、Kerberosチケットを取り消し、ハイブリッド展開のクラウドアカウントのトークンを取り消してください。クラウド結合/登録済みデバイスの場合、デバイスを無効にしてデバイストークンを取り消してください。

4.2 暫定回避策（緩和策）

  • 継続的な監視を実施してください。
  • 厳格なパッチ管理を徹底してください。
  • すべてのリモートアクセスに多要素認証（MFA）を義務付けてください。
  • 影響を受けるシステムをエンタープライズリソースから可能な限り隔離してください。
  • 認証またはID管理サービスを監視してください。
  • 特権レベルのアクセスアカウントの監査を継続してください。
  • 侵害が疑われる場合は、影響を受けるIvanti Connect Secure製品のインスタンスを切断し、CISAおよびIvantiに報告してください。

他に解説すべき観点

  • ゼロデイ攻撃: CVE-2025-0282は、2024年12月下旬からゼロデイ脆弱性として実際に悪用されていました。
  • 攻撃グループ: この脆弱性は、中国関連のAPTグループを含む複数の脅威アクターグループによって積極的に悪用されています。
  • 新しいマルウェア: 以前提供された緩和策を無効にする可能性のある新しいマルウェア「RESURGE」が特定されています。
  • 国内への影響: JPCERT/CCは、2024年12月下旬から国内でこの脆弱性が悪用された複数の被害を確認しており、注意喚起を行っています。
  • 発見者: MandiantとMicrosoftの脅威インテリジェンスセンター（MSTIC）がこの問題の発見に貢献したとされています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る