BDU:2025-00108

Опубликовано: 08 янв. 2025

Источник: fstec

CVSS3: 9

CVSS2: 7.6

EPSS Критический

Описание

Уязвимость средств контроля сетевого доступа Ivanti Connect Secure (ранее Pulse Connect Secure), Ivanti Policy Secure и средства управления IT-сервисами Ivanti Neurons for ZTA связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Вендор

Ivanti

Наименование ПО

Connect Secure

Policy Secure

Ivanti Neurons for Zero Trust Access (nZTA)

Версия ПО

от 22.7R2 до 22.7R2.5 (Connect Secure)

от 22.7R1 до 22.7R1.2 включительно (Policy Secure)

до 22.7R1.2 включительно (Ivanti Neurons for Zero Trust Access (nZTA))

Тип ПО

Сетевое средство

Программное средство защиты

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания попыток эксплуатации уязвимости;

- использование инструмента Integrity Checker Tool (ICT) для выявления средств эксплуатации уязвимости;

- использование SIEM-систем для выявления попыток эксплуатации уязвимости;

- ограничение доступа к уязвимому программному обеспечению из внешних сетей (Интернет).

Использование рекомендаций производителя:

https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-Policy-Secure-ZTA-Gateways-CVE-2025-0282-CVE-2025-0283?language=en_US

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-0282
CVE

EPSS

Процентиль: 100%

0.94105

Критический

9 Critical

CVSS3

7.6 High

CVSS2

Связанные уязвимости

CVE-2025-0282

CVSS3: 9

nvd

около 1 года назад

A stack-based buffer overflow in Ivanti Connect Secure before version 22.7R2.5, Ivanti Policy Secure before version 22.7R1.2, and Ivanti Neurons for ZTA gateways before version 22.7R2.3 allows a remote unauthenticated attacker to achieve remote code execution.

GHSA-rf94-f4r9-6gxh

CVSS3: 9

github

около 1 года назад

BDU:2025-00224

CVSS3: 7

fstec

около 1 года назад

Уязвимость средств контроля сетевого доступа Ivanti Connect Secure (ранее Pulse Connect Secure), Ivanti Policy Secure и средства управления IT-сервисами Ivanti Neurons for ZTA, связанная с переполнением буфера в стеке, позволяющая нарушителю повысить свои привилегии

EPSS

Процентиль: 100%

0.94105

Критический

9 Critical

CVSS3

7.6 High

CVSS2