• ひとことでIvanti の接続用の機器などで、外から任意のコードを実行される弱点です
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることConnect Secureを22.7R2.6以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2025-22457
製品Ivanti Connect Secure, Policy Secure, and ZTA Gateways
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2025-04-04
米国政府機関の対応期限2025-04-11
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-121（スタック領域のバッファオーバーフロー）

何が起きた

Ivanti Connect Secure、Pulse Connect Secure、Ivanti Policy Secure、Ivanti ZTA Gateways で、データを入れる場所（スタック）の大きさを超えて書き込んでしまう弱点が見つかりました。これを悪用されると、攻撃者が機器の上で任意のコードを実行できるおそれがあります。この弱点は実際の攻撃に使われたことが確認されていて、ランサムウェアの攻撃に使われたことも知られています。ネットワーク経由で、ログイン不要の攻撃者が悪用できるとされています。Ivanti は公開の時点で、Connect Secure の 22.7R2.5 以前と Pulse Connect Secure 9.1x で、限られた数の利用者の機器が攻撃されたことを把握していると説明していました。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がネットワーク越しに機器へ接続する → 2. 細工したデータを送りつける → 3. スタックの大きさを超えて書き込まれる → 4. 機器の上で任意のコードが実行される1攻撃者がネットワーク越しに機器へ接続する2細工したデータを送りつける3スタックの大きさを超えて書き込まれる4機器の上で任意のコードが実行される攻撃の流れ: 1. 攻撃者がネットワーク越しに機器へ接続する → 2. 細工したデータを送りつける → 3. スタックの大きさを超えて書き込まれる → 4. 機器の上で任意のコードが実行される1攻撃者がネットワーク越しに機器へ接続する2細工したデータを送りつける3スタックの大きさを超えて書き込まれる4機器の上で任意のコードが実行される攻撃の流れ: 1. 攻撃者がネットワーク越しに機器へ接続する → 2. 細工したデータを送りつける → 3. スタックの大きさを超えて書き込まれる → 4. 機器の上で任意のコードが実行される1攻撃者がネットワーク越しに機器へ接続する2細工したデータを送りつける3スタックの大きさを超えて書き込まれる4機器の上で任意のコードが実行される

誰が影響を受ける

Ivanti の勧告では、Ivanti Connect Secure の 22.7R2.5 以前、Ivanti Policy Secure の 22.7R1.4 以前、ZTA Gateways の 22.8R2 以前と、2024年12月31日にサポートが終わった Pulse Connect Secure の 9.1R18.9 以前などが影響を受けます。なお CVE の記録では、Policy Secure の 22.7R1.4 は影響を受けない版とされていて、勧告と食い違っています。Ivanti は、Policy Secure はインターネットに公開するものではなく、ZTA Gateways は本番の運用中には悪用できないと説明しています。

何をすればいい

Ivanti の勧告に従って、Connect Secure は 22.7R2.6 以降（2025年2月11日公開）、Policy Secure は 22.7R1.5 以降、ZTA Gateways は 22.8R2.2 以降に更新してください。Pulse Connect Secure 9.1x には修正が出ないため、Ivanti に相談して新しい製品へ移る必要があります。Ivanti の整合性チェックツール（ICT）で侵害の兆しが出た場合は、機器を工場出荷時の状態に戻してから、22.7R2.6 で運用に戻すよう案内されています。

やることチェックリスト

  • Connect Secureを22.7R2.6以降に更新する
  • Pulse Connect Secure 9.1xから移行する
  • ICTで侵害の兆しがあれば初期化して入れ直す

用語メモ

スタック
プログラムが一時的なデータを置いておくためのメモリの場所です。
任意のコード 用語集で見る
攻撃者が好きに選んだプログラムの命令のことです。
ランサムウェア 用語集で見る
ファイルを使えない状態にして、元に戻すことと引きかえにお金を要求する不正なプログラムです。

次に読む

同じ製品・メーカーの脆弱性Ivanti Connect Secure, Policy Secure, and ZTA Gateways（CVE-2025-0282）9.0 緊急CVSS v3.1Ivanti の VPN 製品などで、ログインなしに遠隔から命令を実行される弱点です基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Ivanti Connect Secure, Policy Secure, and ZTA Gateways Stack-Based Buffer Overflow Vulnerability

概要

Ivanti Connect Secure, Policy Secure, and ZTA Gateways contains a stack-based buffer overflow vulnerability that allows a remote unauthenticated attacker to achieve remote code execution.

推奨対応

Apply mitigations as set forth in the CISA instructions linked below.

この元データの出どころ: CISA KEV カタログで見る