CVE-2025-22457

Buffer overflow baseado em pilha (CWE-121) no componente de gateway web do Ivanti Connect Secure, que permite execução remota de código sem autenticação. A falha ganhou gravidade real porque está associada à exploração ativa por um grupo de espionagem (rastreado pela comunidade de threat intel como UNC5221) contra Connect Secure exposto à internet, e por isso entrou no KEV da CISA com prazo de correção de apenas 7 dias — o mínimo possível.

A vulnerabilidade é um estouro de buffer na pilha (CWE-121) em um componente do gateway web do Ivanti Connect Secure, Policy Secure e ZTA Gateways. O CVSS oficial (AV:N/AC:H/PR:N/UI:N) indica vetor de rede, sem necessidade de autenticação ou interação do usuário, mas com complexidade de ataque alta (AC:H) — isso normalmente reflete a necessidade de condições de exploração não triviais, como janelas de corrida ou manipulação precisa de estruturas internas do processo, e não apenas envio de um payload simples.

O advisory da Ivanti não detalha publicamente o caminho de código exato nem o parâmetro vulnerável nas informações disponíveis nesta apuração. O que se sabe com certeza, a partir da descrição oficial e do CWE-121 catalogado pela CISA, é que se trata de corrupção de memória na pilha explorável remotamente sem credenciais válidas, resultando em RCE — a classe de falha mais severa possível em um appliance de VPN/acesso remoto, porque compromete o próprio componente que faz a triagem do tráfego de borda.

A complexidade alta (AC:H) no vetor CVSS é um dado relevante para quem avalia risco: nem todo tráfego malformado dispara a falha, e a exploração bem-sucedida provavelmente depende de manipular estado ou timing específico do serviço afetado — detalhe que reforça por que inicialmente a explorabilidade real da falha foi subestimada até ficar confirmada em campo.

O vetor é de rede, contra a interface exposta do gateway (o mesmo componente que atende usuários de VPN), sem exigência de autenticação prévia — isso é o que torna a falha crítica para qualquer appliance Connect Secure acessível pela internet, que é o modo de operação padrão desse produto. Não há indicação nas fontes apuradas de que a exploração dependa de configuração não padrão do produto; o requisito real é apenas exposição da interface vulnerável à rede de onde o atacante ataca.

A CISA confirmou exploração ativa no mundo real ao incluir a CVE no catálogo KEV em 04/04/2025, um dia após a publicação, com prazo de correção de apenas 7 dias (11/04/2025) — prazo curto típico de falhas já sendo usadas em campanhas reais contra alvos federais e, por extensão, qualquer organização exposta. Existe módulo Metasploit e PoC pública, o que baixa a barreira técnica para reprodução da falha por atores menos sofisticados, mesmo que a exploração original tenha exigido conhecimento aprofundado do componente afetado.

O resultado final da exploração é execução de código no próprio appliance de borda — o que dá ao atacante um ponto de pivô dentro da rede interna, acesso a sessões de VPN, e potencial para persistência anterior à camada de autenticação da organização. Por operar no nível do gateway, a compromissão via essa falha tende a ser mais difícil de detectar do que um comprometimento de credencial isolada.

A correção definitiva é atualizar para as versões corrigidas pelo fornecedor: Ivanti Connect Secure 22.7R2.6, Ivanti Policy Secure 22.7R1.4, e ZTA Gateways 22.8R2.2 (ou posteriores). Não há paliativo de configuração publicamente confirmado que neutralize a falha sem aplicar o patch — appliances desse tipo normalmente não aceitam mitigação via WAF externo de forma confiável, porque o tráfego relevante passa pelo próprio componente vulnerável antes de qualquer inspeção.

A CISA publicou instruções de mitigação específicas (link no advisory do KEV) que devem ser seguidas enquanto o patch não é aplicado; elas incluem, tipicamente para esse tipo de incidente, uso da ferramenta de verificação de integridade (ICT) do fornecedor para detectar comprometimento prévio, já que a atualização por si só não remove um implante instalado antes do patch. Isso é relevante: se o appliance já estava exposto e vulnerável antes da correção, apenas atualizar não elimina backdoors eventualmente plantados — é necessário verificar integridade e, em caso de suspeita, considerar reconstrução do appliance a partir de imagem limpa.

Não existe mitigação eficaz baseada em restringir apenas por autenticação, já que a falha é pré-autenticação por definição. Isolar a interface de gestão não resolve, pois o componente afetado é o próprio gateway de acesso, que precisa ficar exposto para a VPN funcionar — a única mitigação real de rede é reduzir a superfície exposta (restringir origem de IPs, se operacionalmente viável) até a atualização ser aplicada.

Não há, nas fontes apuradas, uma assinatura de log única e confiável divulgada publicamente para essa CVE específica. A CISA recomenda o uso da ferramenta de verificação de integridade (Integrity Checker Tool) do próprio fornecedor para identificar indícios de comprometimento em appliances Connect Secure/Policy Secure/ZTA, já que a exploração pode ocorrer sem deixar rastro evidente nos logs de acesso padrão do dispositivo.

Dado o histórico de exploração ativa por ator de ameaça sofisticado (per KEV/CISA), organizações que operam esses appliances expostos à internet e não aplicaram o patch antes de abril de 2025 devem tratar o dispositivo como potencialmente comprometido e priorizar a verificação de integridade e revisão de indicadores de comprometimento publicados pelo fornecedor e por pesquisadores de resposta a incidentes, em vez de confiar apenas em ausência de log suspeito.