Trusted Design

CVE-2025-22457 の詳細

CVEの情報

説明:
A stack-based buffer overflow in Ivanti Connect Secure before version 22.7R2.6, Ivanti Policy Secure before version 22.7R1.4, and Ivanti ZTA Gateways before version 22.8R2.2 allows a remote unauthenticated attacker to achieve remote code execution.

CVE更新日: 2025-04-03 16:15:35.370000

CVSSバージョン: 3.1

CVSSスコア: 9.0

KEVの情報

KEV更新日: 2025-04-04

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999810000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2025-22457は、Ivanti Connect Secure、Ivanti Policy Secure、およびIvanti ZTA Gatewaysに影響を与える、リモートの認証されていない攻撃者がリモートコード実行 (RCE) を達成できる深刻な脆弱性です。この脆弱性は、すでに実環境で悪用されています。

1. 脆弱性の概要

CVE-2025-22457は、Ivanti製品におけるスタックベースのバッファオーバーフローの脆弱性です。この脆弱性により、リモートの認証されていない攻撃者が任意のコードを実行できる可能性があります。

1.1 影響

この脆弱性が悪用されると、影響を受けるシステムが完全に侵害される可能性があります。攻撃者は、データ窃取、バックドアのインストール、ログの改ざんなどの悪意のある活動を実行することが報告されています。

1.2 深刻度

この脆弱性は「Critical（緊急）」と評価されており、CVSSスコアは9.0/10です。当初、Ivantiはこの問題を、特定の文字セットに限定されたバッファオーバーフローであるため、リモートコード実行には悪用できない低リスクのサービス拒否の脆弱性であると誤認識していました。しかし、後に実環境での悪用が確認され、リモートコード実行が可能であることが判明しました。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は特定のOSバージョンではなく、以下のIvanti製品のバージョンに影響を与えます。

  • Ivanti Connect Secure: バージョン 22.7R2.5 およびそれ以前
  • Pulse Connect Secure (サポート終了製品): バージョン 9.1R18.9 およびそれ以前 (2024年12月31日にサポートが終了しています)
  • Ivanti Policy Secure: バージョン 22.7R1.3 およびそれ以前 (一部の情報源では22.7R1.4、Ivantiアドバイザリでは22.7R1.5と記載されています)
  • Ivanti ZTA Gateways: バージョン 22.8R2 およびそれ以前

2.2 影響を受ける設定

本脆弱性は、Ivanti Connect SecureのWebサービスコードにおけるスタックベースのバッファオーバーフローとして発現します。特定の環境設定に依存するものではなく、影響を受けるバージョンの製品においてリモートの認証されていない攻撃者によるコード実行を可能にします。

3. 影響を受けた時の兆候

  • 異常なトラフィックパターン（ネットワークベースの侵入検知システム（NIDS）で検出可能）。
  • Ivanti Connect Secureプロセスに関連するアプリケーションクラッシュまたはエラー（ログ分析ツールで監視可能）。
  • Ivanti Connect Secure脅威ハンティングツール（ICT）の結果に侵害の兆候が見られる場合。
  • 不正なマルウェア（SPAWNエコシステム）の展開、データ窃取、バックドアのインストール、ログの改ざんなどの活動。

4. 推奨対策

4.1 本対策

以下のバージョンへのアップグレードが推奨される恒久的な対策です。

  • Ivanti Connect Secure: 22.7R2.6 (2025年2月11日リリース)
  • Ivanti Policy Secure: 22.7R1.4 (2025年4月21日提供開始) または 22.7R1.5 (2025年5月20日提供開始)
  • Ivanti ZTA Gateways: 22.8R2.2 (2025年4月19日提供開始)

Pulse Connect Secureはサポート終了製品であるため、最新バージョンのIvanti Connect Secureへの移行が推奨されます。 侵害が確認された、または疑われるデバイスについては、パッチ適用前に工場出荷時の設定にリセットし、既知のクリーンなイメージを使用して再構築することが強く推奨されます。

4.2 暫定回避策（緩和策）

  • 脆弱なサービスの一時的な無効化。
  • 脆弱なシステムを隔離するためのネットワークセグメンテーションの適用。
  • 影響を受けるインフラストラクチャに対する完全なセキュリティ監査の実施。
  • 公開される可能性のある認証またはID管理サービスの監視。
  • 特権レベルのアクセスアカウントの継続的な監査。
  • 影響を受ける製品に関連するドメインアカウントが侵害された場合、オンプレミスアカウントのパスワードを2回リセットし、Kerberosチケットを失効させ、ハイブリッド展開のクラウドアカウントのトークンを失効させる。
  • クラウド参加/登録済みデバイスの場合、デバイスをクラウドで無効にしてデバイストークンを失効させる。
  • 接続または公開されている証明書、キー、パスワード（管理者有効パスワード、保存されたAPIキー、ゲートウェイで定義されたローカルユーザーのパスワードなど）を取り消し、再発行する。

他に解説すべき観点

  • 実環境での悪用: 本脆弱性は、2025年3月中旬にはすでに「UNC5221」と呼ばれる中国関連のスパイ活動を疑われるグループによって実環境で積極的に悪用されていることが確認されています。
  • 発見と初期評価: Ivantiは当初、2025年2月にこの問題を製品のバグとして修正し、その時点ではリモートコード実行の脆弱性であるとは認識していませんでした。これは、悪用の複雑さが認識されていたためです。しかし、攻撃者はこのパッチをリバースエンジニアリングすることで脆弱性を特定し、悪用可能なエクスプロイトを開発しました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る