Ivanti Connect Secure, Policy Secure, and ZTA Gateways のバッファオーバーフローの脆弱性（CVE-2025-22457）

何が起きた

Ivanti Connect Secure、Pulse Connect Secure、Ivanti Policy Secure、Ivanti ZTA Gateways で、データを入れる場所（スタック）の大きさを超えて書き込んでしまう弱点が見つかりました。これを悪用されると、攻撃者が機器の上で任意のコードを実行できるおそれがあります。この弱点は実際の攻撃に使われたことが確認されていて、ランサムウェアの攻撃に使われたことも知られています。ネットワーク経由で、ログイン不要の攻撃者が悪用できるとされています。Ivanti は公開の時点で、Connect Secure の 22.7R2.5 以前と Pulse Connect Secure 9.1x で、限られた数の利用者の機器が攻撃されたことを把握していると説明していました。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Ivanti の勧告では、Ivanti Connect Secure の 22.7R2.5 以前、Ivanti Policy Secure の 22.7R1.4 以前、ZTA Gateways の 22.8R2 以前と、2024年12月31日にサポートが終わった Pulse Connect Secure の 9.1R18.9 以前などが影響を受けます。なお CVE の記録では、Policy Secure の 22.7R1.4 は影響を受けない版とされていて、勧告と食い違っています。Ivanti は、Policy Secure はインターネットに公開するものではなく、ZTA Gateways は本番の運用中には悪用できないと説明しています。

何をすればいい

Ivanti の勧告に従って、Connect Secure は 22.7R2.6 以降（2025年2月11日公開）、Policy Secure は 22.7R1.5 以降、ZTA Gateways は 22.8R2.2 以降に更新してください。Pulse Connect Secure 9.1x には修正が出ないため、Ivanti に相談して新しい製品へ移る必要があります。Ivanti の整合性チェックツール（ICT）で侵害の兆しが出た場合は、機器を工場出荷時の状態に戻してから、22.7R2.6 で運用に戻すよう案内されています。

やることチェックリスト

• Connect Secureを22.7R2.6以降に更新する
• Pulse Connect Secure 9.1xから移行する
• ICTで侵害の兆しがあれば初期化して入れ直す

用語メモ

スタック

プログラムが一時的なデータを置いておくためのメモリの場所です。

任意のコード

攻撃者が好きに選んだプログラムの命令のことです。

ランサムウェア

ファイルを使えない状態にして、元に戻すことと引きかえにお金を要求する不正なプログラムです。