CISA alerta para vulnerabilidade crítica explorada no Ivanti Connect Secure

A CISA adicionou a vulnerabilidade CVE-2025-22457 ao seu Catálogo de Vulnerabilidades Exploradas Conhecidas (KEV, na sigla em inglês), o que reforça a gravidade da ameaça detetada nos produtos Ivanti Connect Secure, Policy Secure e ZTA Gateways. A vulnerabilidade, com uma pontuação CVSS de 9,0, permite que atacantes remotos e não autenticados executem código arbitrário, comprometendo diretamente organizações que utilizam estas soluções VPN e de acesso remoto.

A vulnerabilidade consiste num stack-based buffer overflow, que afeta versões anteriores a 22.7R2.6 do Ivanti Connect Secure, versões anteriores a 9.1R18.9 do Pulse Connect Secure (descontinuado no final de 2024), versões anteriores a 22.7R1.3 do Policy Secure e versões anteriores a 22.8R2 do ZTA Gateways. A Ivanti lançou uma correção para o Connect Secure a 11 de fevereiro deste ano, com atualizações para os restantes produtos agendadas para 19 e 21 de abril.

A CISA integrou esta vulnerabilidade no KEV a 4 de abril, após relatos de exploração ativa por parte do grupo UNC5221, conhecido por visar dispositivos edge. Desde meados de março, os atacantes têm utilizado malware, como Trailblaze e Brushfire, para garantir persistência e acesso a dados sensíveis, provavelmente depois de procederem à engenharia reserva do patch disponibilizado em fevereiro.

Com um deadline de mitigação fixado para 11 de abril de 2025, a CISA recomenda que todas as entidades afetadas consultem o KEV e sigam as orientações da diretiva BOD 22-01. As ações sugeridas incluem a utilização da Ferramenta de Verificação de Integridadfe da Ivanti, a aplicação imediata de patches, a monitorização de serviços de autenticação e, em caso de deteção de comprometimento, o isolamento dos dispositivos, redefinição de fábrica e substituição de credenciais.

Esta é a 15.ª vulnerabilidade da Ivanti a integrar o KEV desde 2024, o que representa uma preocupação recorrente com a segurança dos seus dispositivos de fronteira. O envolvimento do grupo UNC5221, com ligações a atividades de espionagem associadas à China, sublinha a urgência da resposta.