Ivanti Connect Secure, Policy Secure & ZTA Gateways (CVE-2025-22457)

CISA adds Ivanti Connect Secure vulnerability to KEV catalog (04/07)

『CVE-2025-22457 is a critical stack buffer-overflow vulnerability. ...』

April Security Advisory Ivanti Connect Secure, Policy Secure & ZTA Gateways (CVE-2025-22457) (04/03-23)

『　…

エクスプロイトが成功すると、リモートでコードが実行される可能性があります。

開示時点では、Ivanti Connect Secure (22.7R2.5以前) およびサポート終了の Pulse Connect Secure 9.1x アプライアンスが悪用されているお客様は限られていることを認識しています。Pulse Connect Secure 9.1x は 2024 年 12 月 31 日にサポート終了となり、コードのサポートや変更は提供されなくなりました。

お客様は、サポートされているバージョンでアプライアンスを実行し、Ivantiのガイダンスに従って実行している場合、この脆弱性によるリスクを大幅に軽減できます: Ivantiは、重要なセキュリティと製品の機能強化の恩恵を受けることができるように、常に最新バージョンのソリューションを使用することをお客様に推奨しています。

開示時点では、この脆弱性によるリスクを大幅に軽減したPolicy SecureまたはZTAゲートウェイの悪用は認識されていません

』 以上、機械翻訳

 

April Security Update | Ivanti (04/03)

 

Suspected China-Nexus Threat Actor Actively Exploiting Critical Ivanti Connect Secure Vulnerability (CVE-2025-22457) | Google Cloud Blog (04/04)

『

2025年4月3日(木)、Ivantiは、Ivanti Connect Secure(「ICS」)VPNアプライアンスバージョン22.7R2.5以前に影響を与える重大なセキュリティ脆弱性CVE-2025-22457を公開しました。CVE-2025-22457はバッファオーバーフローの脆弱性であり、悪用が成功すると、リモートでコードが実行される可能性があります。MandiantとIvantiは、ICS 9.X(サポート終了)および22.7R2.5以前のバージョンに対して、野外で積極的に悪用されている証拠を特定しました。IvantiとMandiantは、すべてのお客様にできるだけ早くアップグレードすることをお勧めします。

 

観察されたCVE-2025-22457の悪用の最も初期の証拠は、2025年3月中旬に発生しました。エクスプロイトが成功した後、新たに特定された2つのマルウェアファミリー、TRAILBLAZEインメモリ専用ドロッパーとBRUSHFIREパッシブバックドアの展開が観測されました。さらに、以前に報告されたマルウェアのSPAWNエコシステムの展開も観察されました UNC5221UNC5221は、2023年にさかのぼってエッジデバイスのゼロデイエクスプロイトを行っていることが以前に確認された、中国とネクサスのスパイ活動の疑いがあります。

 

CVE-2025-22457 のパッチは、2025 年 2 月 11 日に ICS 22.7R2.6 でリリースされました。この脆弱性は、文字スペースが制限されたバッファオーバーフローであるため、当初は低リスクのサービス拒否の脆弱性と考えられていました。脅威アクターがICS 22.7R2.6の脆弱性に対するパッチを調査し、複雑なプロセスを通じて、22.7R2.5以前を悪用してリモートコード実行を実現できる可能性が明らかになった可能性が高いと評価しています。

 

Ivantiは、悪用された脆弱性に対するパッチをリリースしており、Ivantiのお客様は、セキュリティアドバイザリのアクションに従って、できるだけ早くシステムを保護することをお勧めします。

』 以上、機械翻訳

 

Ivanti Connect Secureなどにおける脆弱性（CVE-2025-22457）に関する注意喚起 (04/04)

『 …

Ivanti Connect Secureで本脆弱性を悪用する攻撃を検出する方法として、Ivantiが提供する整合性チェックツール（Integrity Checker Tool: ICT）の実行が推奨されています。

…

なお、同製品を侵害する攻撃で、整合性チェックツールの検索結果を細工する改ざんを行うケースがこれまでに確認されています。 … ツールの実行結果を確認時はご留意ください。

』

いろいろ 02/06 001

l  》 サイバーセキュリティの“設定ミス”で組織はどんな危険に晒される？ CISAとNSAが公開したアドバイザリをチェック (Internet Watch, 11/9)

l  Insights from Microsoft Security Copilot early adopters (Microsoft, 11/8)

l  AndroidのパスワードマネージャーからWebViewを悪用して資格情報を盗み出せる脆弱性「AutoSpill」が発見される (gigazine, 2023.12.08)。 悪意あるアプリが WebView 経由でパスワードマネージャーからの入力を要求する場合に欠陥がある模様。 アプリそのものには認証情報は渡らないはずだが、実際には渡ってしまうことがあると。

l  Microsoft、WindowsでWebDAVサービスなど3つの機能を非推奨に (窓の杜, 11/6)。Computer Browser、Webclient (WebDAV)、Remote Mailslots が deprecated に。

 

◆Copilot いろいろ

• 最新のWindows 11 23H2は何が変わった？AIアシスタントのCopilotなど、新機能・更新内容を一挙紹介 (PC Watch, 11/6)
• 正式リリースのMicrosoft 365 Copilot、過大な期待は禁物な理由 (@IT, 11/2)。 E3/E5 かつ 300 ユーザー以上限定、 1ユーザー／月30ドル、教育機関・政府機関は除外、だそうで。
• これならWeb会議中に寝ても大丈夫!? 「Copilot for Microsoft 365」で劇的に便利になるTeams会議 (Internet Watch, 2/5)

• フェイクニュース、ＡＩ、認知戦　２０２４年という選挙のビッグイヤーに何が起きるのか（ジャーナリスト・古田大輔） (時事, 1/10)

 

◆CVE 一覧。48 MS CVE + 5 non-MS CVE だそうで。 CVE 番号が太字なのは critical (最大深刻度: 緊急) 扱い。 （注、私の好みで抜粋した。全件ではない）

• Microsoft Bluetooth ドライバー CVE-2024-21306
• Microsoft Edge (Chromium ベース) CVE-2024-0222 CVE-2024-0223 CVE-2024-0224 CVE-2024-0225
• Microsoft ID サービス CVE-2024-21319
• Microsoft Office CVE-2024-20677
• SQL Server CVE-2024-0056
• Windows Hyper-V CVE-2024-20699 CVE-2024-20700
• Windows 近距離共有 CVE-2024-20690
• Windows 認証方法 CVE-2024-20674
• リモート デスクトップ クライアント CVE-2024-21307

 

◆Fortinet FortiOS / FortiProxy

FortiOS & FortiProxy - Improper authorization for HA requests (FortiGuard Labs, 2024.01.09)。CVE-2023-44250

 

◆Juniper Junos OS / Junos OS Evolved

2024-01 Security Bulletin: Junos OS and Junos OS Evolved: In a jflow scenario continuous route churn will cause a memory leak and eventually an rpd crash (CVE-2024-21611) (Juniper, 2024.01.11)

 

◆Ivanti Connect Secure / Ivanti Policy Secure

Ivanti Connect SecureおよびIvanti Policy Secureの脆弱性（CVE-2023-46805およびCVE-2024-21887）に関する注意喚起 (JPCERT/CC, 2024.01.11)。認証回避 + コマンドインジェクション。

2024.01.16 追記:

Ivanti Connect SecureおよびIvanti Policy Secureの脆弱性（CVE-2023-46805およびCVE-2024-21887）に関する注意喚起 (JPCERT/CC, 2024.01.15 更新)

JPCERT/CCは、本脆弱性を悪用したとみられる攻撃が国内組織に対しても行われた可能性があることを確認しています。同製品を利用している場合は速やかに対処や調査を実施することを推奨します。

Cutting Edge: Suspected APT Targets Ivanti Connect Secure VPN in New Zero-Day Exploitation (Mandiant, 2024.01.12)

2024.01.17 追記:

ヤラレたか否かのチェックには Integrity Check Tool (ICT) を使うのだそうです。 ICT には internal ICT と external ICT の 2種類があり、 両方 clean であれば問題なしと判断できるようです。

• Recovery Steps Related to CVE-2023-46805 and CVE-2024-21887 (ivanti.com, 2024.01.16)

『Both the internal and external ICT successfully identifies the post-advisory activity. If your ICT scans were clean, you are not affected by this activity.

Customers can access direct downloads for the Mitigation and ICT here login required. 』

Ivanti Connect SecureおよびIvanti Policy Secureの脆弱性（CVE-2023-46805およびCVE-2024-21887）に関する注意喚起 (JPCERT/CC, 2024.01.17 更新) にはさらに興味深い情報があって、

『本情報の更新時点では、侵害検出方法として、Ivantiが提供する整合性チェックツール（Integrity Checker Tool）の実行が推奨されています。Ivantiが提供するツールをダウンロードし実行する外部チェック（external ICT）は機器の再起動を伴います。機器に搭載される内部チェック（In-Build ICT）が利用できる場合はそちらの利用をまずご検討ください。ツール実行に関する留意点や条件などの詳細は、Ivantiが提供する最新の情報をご確認ください。』

Ivanti Connect Secure VPN Exploitation Goes Global (volexity.com, 2024.01.15)

2024.01.22 追記:

Ivanti Connect Secure、Ivanti Policy Secureの脆弱性 CVE-2023-46805およびCVE-2024-21887についてまとめてみた (piyolog, 2024.01.17)

 

 

セキュリティは楽しいかね いろいろ 04/13

人的ミスで利用者に影響が 那覇市役所でシステム障害 (04/01)

https://www.qab.co.jp/news/20240401206783.html

『システム障害の影響で受付が現在およそ１８０分、書類受取まではおよそ５時間かかる ..

４月１日午前９時半ごろから、市役所内のネットワークでシステム障害が発生 ..

市によりますと、パソコンなどをつなげるＬＡＮケーブルを誤って接続し、大量の通信が発生したことが原因で、午前１１時３５分ごろに復旧したということです。』

 

運転免許センターのシステム障害 ほぼ復旧 警察庁が原因調査 (04/01 13:49)

https://www3.nhk.or.jp/news/html/20240401/k10014409031000.html

『4月1日午前9時ごろ、全国19都府県の運転免許センターでシステム障害が発生 .. これまでにほぼ復旧した ..

全国の警察本部ではそれぞれの運転免許システムから警察庁の共通システムへの移行を進めていて、今回、障害が発生した19都府県はすでに移行を完了していました。

今回の障害は、共通システムの回線容量を超える通信が行われたことが、原因の1つとみられるということです。

共通システムに不具合が生じたのは、ことしに入ってから3回目です。

警察庁が詳しい原因を調べています。』

 

HOYAシステム障害

l  HOYAシステム障害 眼鏡用レンズの受注発送停止 不正アクセスか (04/04) https://www3.nhk.or.jp/news/html/20240404/k10014412561000.html

l  ＨＯＹＡがシステム障害、眼鏡レンズの受注・出荷滞る…メガネスーパーなどで取り扱い一時停止 (04/04) https://news.yahoo.co.jp/articles/02c137aed86b18e2cda453502813fff5fad8bfcc

『システム障害が３月３０日に発生 .. 第三者による同社サーバーへの不正アクセスが原因の可能性が高いと発表 ..

復旧の見通しは立っていない。眼鏡レンズの受注や出荷が滞り、眼鏡店の販売にも影響が出ている。

　３月３０日未明に海外の事業所でシステムに不審な動きがあり、発覚した。４月４日時点でも工場内のシステムや受注システムが一部停止した状態だという。機密情報や個人情報の流出については調査中としている。

　眼鏡チェーンのＪＩＮＳ（ジンズ）やメガネスーパーでは、ＨＯＹＡ製レンズの取り扱いを一時停止した。注文が他社製品に流れたことで、眼鏡レンズ全般の納期に遅れが出ている。』

l  ＨＯＹＡシステム障害で供給遅延、ＪＩＮＳ・Ｚｏｆｆも一部レンズ販売停止…競合他社にも影響 (04/10) https://www.yomiuri.co.jp/economy/20240409-OYT1T50139/

l  HOYAがサイバー攻撃で3度目の被害、「犯人」はダークウェブで犯行を公表 (04/06) https://jbpress.ismedia.jp/articles/-/80342?page=4

『2019年には同社のタイにおける最大の工場がサイバー攻撃被害を受け、レンズの生産ラインが3日にわたって停止 .. 当時、タイのシステムは日本の同社コンピューターにも繋がっていたために、日本の事業にも支障が出た。

.. 2021年にも「アストロチーム」と名乗るサイバー攻撃グループによって、身代金要求型ウイルスに感染させられている。同グループは、同社から300Gバイトのデータを盗んだと明らかにしている。攻撃を受けたのはHOYAのアメリカにある子会社だった。

.. 企業などを襲うサイバー攻撃では、セキュリティに予算をかけている会社の本社や本拠地の施設よりも、外国の子会社や取引先などが狙われるケースが増えている。』

 

 

サポート詐欺に注意

l  パソコンで警告が出たらサポート詐欺に注意！ (国民生活センター　3月)　https://www.kokusen.go.jp/pdf/n-20240327_1_lf.pdf

『不 安 に 思 っ た 場 合 は 、 消 費 者 ホ ッ ト ラ イ ン 「 １ ８ ８ 」 へ』

l  パソコンで警告が出たらサポート詐欺に注意！－70歳以上で大幅に増加－(03/27)　https://www.kokusen.go.jp/news/data/n-20240327_1.html

『　いわゆる「サポート詐欺」の相談が全国の消費生活センター等に依然として多く寄せられています。サポート詐欺とは、パソコンでインターネットを使用中に突然「ウイルスに感染している」等の警告画面や警告音が出て、それらをきっかけに警告画面上に表示されている電話番号に電話をかけさせ、偽のサポートに誘導し、サポート料金を支払わせる手口です。

 

近年の相談状況をみると、相談件数は年間5,000件台で推移してきましたが、2023年度は、2022年度同期と比べて約1.3倍に増加しています。特に70歳以上の相談件数が大幅に増加しており、新たな手口として、インターネットバンキングで送金を指示されるケースも確認されていますので、注意してください。』

 

 

米国土安全保障省が昨年発生した Microsoft Exchange Online への侵害事案に関する報告書を公開

Cyber Safety Review Board Releases Report on Microsoft Online Exchange Incident from Summer 2023 (2024/04/02) https://www.dhs.gov/news/2024/04/02/cyber-safety-review-board-releases-report-microsoft-online-exchange-incident-summer

『本日、米国国土安全保障省（DHS）は、2023年夏に発生したマイクロソフト・エクスチェンジ・オンラインへの不正侵入事件に関するサイバー安全審査委員会（Cyber Safety Review Board: CSRB）の独立審査結果を発表した。このレビューでは、侵入に至った業務上および戦略上の意思決定について詳述し、このような大規模な侵入が二度と起こらないようにするため、産業界と政府が実施すべき具体的な慣行を勧告した。国土安全保障省のアレハンドロ・N・マヨルカス長官は、理事会からCSRB報告書を受け取り、バイデン大統領に手渡した。これは、2022年2月にCSRBが発表されて以来、3回目のレビュー完了となる。』　（機械翻訳）

 

CISA が Known Exploited Vulnerabilities (KEV) カタログに 2 個の脆弱性を追加

• CISA Adds Two Known Exploited Vulnerabilities to Catalog (04/04) https://www.cisa.gov/news-events/alerts/2024/04/04/cisa-adds-two-known-exploited-vulnerabilities-catalog

  『

• CVE-2024-29745 Android Pixel Information Disclosure Vulnerability
• CVE-2024-29748 Android Pixel Privilege Escalation Vulnerability

  』

 

• Pixel に複数のゼロデイ脆弱性

Pixel アップデート速報 — 2024 年 4 月 (04/02)

https://source.android.com/docs/security/bulletin/pixel/2024-04-01?hl=ja

『Google デバイスの場合、セキュリティ パッチ レベル 2024-04-05 以降は、この公開情報のすべての問題と 2024 年 4 月の Android セキュリティ公開情報のすべての問題に対処します。デバイスのセキュリティ パッチ レベルを確認する方法については、 「 Android バージョンを確認して更新する 」を参照してください ..

.. Google デバイスには以下に説明するセキュリティの脆弱性に対するパッチも含まれています。

注: 以下のものが限定的かつ標的を絞った悪用を受けている可能性があるという兆候があります。

·        CVE-2024-29745

·        CVE-2024-29748

』

 

複数の HTTP/2 プロトコル実装に脆弱性

HTTP/2 CONTINUATION Flood - nowotarski.info (4/3)

https://nowotarski.info/http2-continuation-flood/

『tl;dr: CONTINUATION Flood は、多くの HTTP/2 プロトコル実装における脆弱性のクラスです。多くの場合、Rapid Reset と比べてより深刻な脅威となります。1台のマシン（場合によっては、単なる1つのTCPコネクションや一握りのフレーム）がサーバーの可用性を中断させる可能性があり、サーバーのクラッシュから大幅なパフォーマンスの低下まで、さまざまな影響を及ぼします。驚くべきことに、攻撃を構成するリクエストは、HTTPアクセスログでは見えない。』

 

Ivanti Connect Secure と Ivanti Policy Secure に複数の脆弱性

• New CVE-2024-21894 (Heap Overflow), CVE-2024-22052 (Null Pointer Dereference), CVE-2024-22053 (Heap Overflow) and CVE-2024-22023 (XML entity expansion or XXE) for Ivanti Connect Secure and Ivanti Policy Secure Gateways (04/02-08) https://forums.ivanti.com/s/article/New-CVE-2024-21894-Heap-Overflow-CVE-2024-22052-Null-Pointer-Dereference-CVE-2024-22053-Heap-Overflow-and-CVE-2024-22023-XML-entity-expansion-or-XXE-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US

『説明

 

Ivanti Connect Secure (ICS) (旧称 Pulse Connect Secure) および Ivanti Policy Secure ゲートウェイに脆弱性が発見され、現在パッチが提供されています。これらの脆弱性は、サポートされているすべてのバージョン（バージョン 9.x および 22.x）に影響します（サポートされているバージョンについては、「Granular Software Release EOL Timelines and Support Matrix」を参照してください）。 

公開時点では、これらの脆弱性によって悪用されているお客様の存在は認識しておりません .. 』

 

l  New Ivanti RCE flaw may impact 16,000 exposed VPN gateways (04/05)

https://www.bleepingcomputer.com/news/security/new-ivanti-rce-flaw-may-impact-16-000-exposed-vpn-gateways/

『インターネット上に公開されている約 16,500 の Ivanti Connect Secure および Poly Secure ゲートウェイは、ベンダーが今週初めに対処したリモート コード実行 (RCE) の欠陥に対して脆弱である可能性があります。

 

この欠陥はCVE-2024-21894として追跡されており  、Ivanti Connect Secure 9.x および 22.x の IPSec コンポーネントにおける重大度の高いヒープ オーバーフローであり、認証されていないユーザーがサービス拒否 (DoS) を引き起こしたり、RCE を達成したりする可能性があります。特別に作成されたリクエストを送信します。

..

当時、  Ivanti は 、どの顧客にも積極的な悪用の兆候は見られなかったと述べたが、システム管理者にできるだけ早くアップデートを適用するよう促した。』

 

参考

セキュリティは楽しいかね？ Part 2

今週の気になるセキュリティニュース - Issue #165 (04/07)

https://negi.hatenablog.com/entry/2024/04/07/210502