Przepełnienie bufora w Ivanti Connect Secure, Policy Secure i ZTA Gateways pozwala przejąć bramę VPN bez hasła. Luka używana w ransomware i przez chińską grupę szpiegowską. Sprawdź ślady włamania, zresetuj urządzenie i zaktualizuj.
Ten alert jest dla zarządu, CTO i CFO firm, które dają pracownikom dostęp zdalny przez bramy Ivanti Connect Secure (dawniej Pulse Secure), Ivanti Policy Secure lub Ivanti ZTA Gateways. Werdykt: jeśli urządzenie nie miało wersji 22.7R2.6 przed końcem lutego 2025 roku, sama aktualizacja nie wystarczy: NATYCHMIAST sprawdź ślady włamania, zresetuj urządzenie i dopiero wtedy wgraj poprawkę, bo luka była wykorzystywana szpiegowsko i w ransomware.
Amerykańska agencja CISA 4 kwietnia 2025 roku dopisała podatność CVE-2025-22457 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach, i oznaczyła ją jako używaną w kampaniach ransomware. To przepełnienie bufora na stosie w bramach VPN Ivanti, które pozwala napastnikowi z internetu, bez konta i bez kliknięcia, wykonać własny kod na urządzeniu. CISA dała agencjom federalnym tylko 7 dni na reakcję (termin 11 kwietnia 2025) i osobną instrukcję, która zaczyna się od szukania śladów włamania.
Poprawka dla Connect Secure wyszła już 11 lutego 2025 roku, ale błąd uznano wtedy za mało groźny, bo pozwalał wpisać tylko ograniczony zestaw znaków. Według Mandiant napastnicy najpewniej przeanalizowali poprawkę, znaleźli sposób na wykonanie kodu i od połowy marca 2025 roku atakowali urządzenia bez aktualizacji.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-22457 (w europejskiej bazie EUVD-2025-9646) |
Data dodania do CISA KEV | 2025-04-04 |
Termin naprawy wg CISA | 2025-04-11 (7 dni od wpisu, zamiast zwykłych 21) |
Produkt | Ivanti Connect Secure (brama VPN), Ivanti Policy Secure, Ivanti Neurons for ZTA Gateways; także wycofany Pulse Connect Secure |
Wersje zagrożone | Connect Secure starszy niż 22.7R2.6; Policy Secure starszy niż 22.7R1.4; ZTA Gateways starsze niż 22.8R2.2; wszystkie egzemplarze Pulse Connect Secure (bez wsparcia) |
Wersje bezpieczne | Connect Secure 22.7R2.6 (od 11 lutego 2025); Policy Secure 22.7R1.4; ZTA Gateways 22.8R2.2; oraz nowsze. Pulse Connect Secure: brak poprawek, wymiana na wspierany produkt |
Typ podatności | Przepełnienie bufora na stosie; Ivanti i CISA: CWE-121, NVD: CWE-787 |
Ocena CVSS | Ivanti: 9.0 (CVSS 3.1, KRYTYCZNA, wysoka złożoność ataku). NVD: 9.8 (CVSS 3.1, KRYTYCZNA, niska złożoność). Atak przez sieć, bez uprawnień i bez udziału użytkownika |
Wyobraź sobie ochroniarza przy głównym wejściu do firmy, który zapisuje nazwisko każdego gościa na karteczce o stałej długości. Nikt nie sprawdza, czy nazwisko się zmieści. Gość podaje bardzo długie „nazwisko”, które wychodzi poza karteczkę i nadpisuje leżącą obok instrukcję ochrony. Od tej chwili ochroniarz wykonuje polecenia gościa, a gość nawet nie przeszedł przez bramkę.
Tak działała ta luka. Brama VPN przyjmuje dane od każdego w internecie, bo musi obsługiwać logowanie pracowników. Zbyt długie, spreparowane dane wychodziły poza zarezerwowany obszar pamięci i nadpisywały informację, dokąd program ma przejść dalej. Napastnik przejmował sterowanie urządzeniem, które stoi na styku firmy z internetem i przez które przechodzi cały dostęp zdalny.
💡 Brama VPN to urządzenie, przez które pracownicy spoza biura łączą się bezpiecznie z siecią firmy. Przepełnienie bufora to zapis większej ilości danych, niż przewidziano miejsca, który nadpisuje dane sterujące programem. Integrity Checker Tool (ICT) to narzędzie Ivanti sprawdzające, czy oprogramowanie urządzenia nie zostało zmienione. Reset fabryczny to przywrócenie urządzenia do stanu z fabryki. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obcy z internetu wysyła dane do bramy VPN | Brama wymaga logowania | Brama wykonuje kod napastnika |
Aktualizacja urządzenia po ataku | Zamyka problem | Nie usuwa ukrytego złośliwego oprogramowania |
Narzędzie sprawdzające integralność (ICT) | Wiarygodne | Napastnicy próbowali je modyfikować, stąd zalecenie użycia wersji zewnętrznej |
Brak śladów włamania | Oznacza bezpieczeństwo | CISA i tak zaleca reset fabryczny dla pewności |
Hasła i certyfikaty | Bezpieczne | Przy włamaniu wszystkie do wymiany |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na opisie Mandiant. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Brama VPN musi być dostępna z internetu, więc atak nie wymaga wcześniejszego dostępu do firmy ani konta. CISA ocenia, że nie da się go w pełni zautomatyzować, ale próby wykorzystania są praktycznie pewne (EPSS 99,99%).
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie bram Ivanti i sprawdzanie wersji | Lista urządzeń bez 22.7R2.6 |
2. Przejęcie | T+minuty do godzin | Wysłanie spreparowanych danych wywołujących przepełnienie bufora | Kod napastnika działa na bramie VPN |
3. Instalacja narzędzi | T+minuty | Skrypt uruchamia dropper TRAILBLAZE działający tylko w pamięci i pasywną furtkę BRUSHFIRE; także narzędzia z rodziny SPAWN | Ukryty, trwały dostęp |
4. Zacieranie śladów | T+minuty | Kasowanie plików tymczasowych i zrzutów awarii, próba modyfikacji narzędzia ICT | Utrudnione wykrycie |
5. Wejście do sieci | T+dni | Przechwytywanie sesji i haseł użytkowników VPN, przejście do systemów wewnętrznych | Napastnik w sieci firmy |
6. Skutek dla firmy | T+dni do tygodni | Szpiegostwo lub przygotowanie ataku ransomware | Wyciek danych, szyfrowanie, szantaż |
Brama VPN to główne drzwi do sieci firmy i nie da się jej schować przed internetem. Luka bez logowania, potwierdzone użycie w ransomware, grupa szpiegowska z doświadczeniem w atakach na urządzenia brzegowe i prognoza EPSS bliska 100% oznaczają, że urządzenie bez poprawki w okresie ataków trzeba traktować jak potencjalnie przejęte.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odłączenie bramy, reset i odtworzenie, przerwa w pracy zdalnej | Dni | 30 tys. do 300 tys. PLN (przestój pracy zdalnej, prace serwisowe) |
Bezpieczeństwo danych | Przechwycone hasła i sesje VPN, dostęp do systemów wewnętrznych | Dni od przejęcia | 50 tys. do 400 tys. PLN (analiza kryminalistyczna, wymiana poświadczeń) |
Finansowy | Żądanie okupu, koszty specjalistów, utracone zamówienia | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, pytania ubezpieczyciela | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Zgłoszenie do UODO w 72 godziny przy wycieku danych osobowych; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z bramą Ivanti, która nie miała
wersji 22.7R2.6 przed końcem lutego 2025
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest krytyczne, bo luka daje pełną kontrolę nad bramą VPN bez logowania, próby ataku są praktycznie pewne, a potwierdzono użycie w ransomware; firma, która miała 22.7R2.6 przed końcem lutego 2025 i regularnie aktualizuje urządzenie, ma ryzyko wyraźnie niższe.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić wersję bramy Ivanti i datę, od kiedy ma 22.7R2.6 (Connect Secure), 22.7R1.4 (Policy Secure) lub 22.8R2.2 (ZTA) | Dziś | Administrator sieci / partner IT |
2 | 🔴 NATYCHMIAST | Jeśli wersja bezpieczna pojawiła się po 28 lutego 2025 lub urządzenie to Pulse Connect Secure: uruchomić zewnętrzne narzędzie ICT i przeszukać systemy, które łączyły się z bramą | Dziś | Zespół bezpieczeństwa |
3 | 🔴 NATYCHMIAST | Jeśli nie ma śladów: wykonać reset fabryczny (dla wersji chmurowych i wirtualnych odtworzenie z czystego obrazu), potem wgrać wersję z poprawką | Do 2 dni | Administrator sieci |
4 | 🔴 NATYCHMIAST | Jeśli są ślady: odłączyć urządzenie, wykonać kopię kryminalistyczną ze zrzutem pamięci, wymienić wszystkie certyfikaty, klucze i hasła kont lokalnych | Dziś | Zespół reagowania na incydenty |
5 | 🟠 PILNIE | Przy włamaniu: dwukrotnie zmienić hasła kont domenowych, unieważnić bilety uwierzytelniające i tokeny w chmurze (zgodnie z instrukcją CISA) | Do 2 dni | Administrator Active Directory |
6 | 🟠 PILNIE | Zaplanować wymianę Pulse Connect Secure na wspierany produkt | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Ustalić na piśmie, kto śledzi biuletyny Ivanti i w jakim czasie wdraża poprawki bram VPN | Do 14 dni | CTO |
Poprawki są dostępne dla wszystkich trzech produktów (Policy Secure i ZTA Gateways dostały je później niż Connect Secure). W chwili publikacji instrukcji CISA, przed ich wydaniem, jedynym zaleceniem było odłączenie podatnych urządzeń. Dla Pulse Connect Secure poprawek nie ma. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odłączenie podatnego urządzenia od internetu (zalecenie CISA do czasu poprawki) | Wysoka | Łatwa technicznie, bolesna organizacyjnie: brak pracy zdalnej |
Zewnętrzne narzędzie ICT i przegląd powiązanych systemów | Wysoka dla wykrycia, nie chroni przed nowym atakiem | Średnia |
Reset fabryczny lub odtworzenie z czystego obrazu | Wysoka: usuwa ukryte narzędzia | Średnia: wymaga ponownej konfiguracji |
Wymiana Pulse Connect Secure na wspierany produkt | Wysoka, docelowe rozwiązanie | Trudna budżetowo |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja bramy VPN | Nieznana lub sprzed 22.7R2.6 | 22.7R2.6 / 22.7R1.4 / 22.8R2.2 lub nowsza |
Wiedza o włamaniu | Brak | Wynik zewnętrznego ICT i przeglądu systemów |
Stan urządzenia | Możliwe ukryte narzędzia napastnika | Po resecie fabrycznym lub z czystego obrazu |
Hasła, certyfikaty, tokeny | Mogły wyciec | Wymienione, jeśli wykryto ślady |
Odpowiedzialność | Nikt nie śledzi biuletynów | Imiennie wskazana osoba lub firma |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Mandiant: ataki od połowy marca 2025 |
Grupy przestępcze | UNC5221, podejrzewana chińska grupa szpiegowska atakująca urządzenia brzegowe od 2023 roku (wg Mandiant) |
Kampanie ransomware | TAK (CISA KEV: Known), bez wskazania konkretnej kampanii w źródłach |
Ocena CVSS | 9.0 KRYTYCZNA wg Ivanti (CVSS 3.1); 9.8 KRYTYCZNA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | Brak informacji w źródłach tego alertu |
Liczba atakowanych firm | Brak publicznych danych |
Automatyzacja ataku | CISA: niemożliwa w pełni; skutek techniczny całkowity |
Prognoza EPSS | 99,99% szansy zaobserwowania próby wykorzystania w 30 dni, percentyl 99,985 (wg analizy źródłowej) |
Złośliwe oprogramowanie | TRAILBLAZE, BRUSHFIRE, rodzina SPAWN (wg Mandiant) |
Sygnały zagrożenia dla CVE-2025-22457
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (Ivanti) 9.0/10 ██████████████████░░ KRYTYCZNA
EPSS (próba w 30 dni) 99,99% ████████████████████ PRAKTYCZNIE PEWNE
CISA KEV (7 dni) TAK ████████████████████ termin skrócony
Ransomware (CISA) Known ████████████████████ używana
Grupa szpiegowska TAK ████████████████████ UNC5221 2025-02-11 Ivanti wydaje Connect Secure 22.7R2.6 (błąd uznany
za mało groźny)
2025-02-28 Granica z instrukcji CISA: urządzenia bez 22.7R2.6
do tego dnia wymagają szukania śladów
2025-03 (poł.) Pierwsze zaobserwowane ataki (wg Mandiant)
2025-04-03 Ivanti publikuje biuletyn, publikacja CVE w NVD,
raport Mandiant
2025-04-04 CISA dodaje lukę do KEV, ransomware: Known
2025-04-11 Termin naprawy wg CISA (7 dni)
2026-08-04 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Instrukcja CISA krok po kroku: cisa.gov/cisa-mitigation-instructions-cve-2025-22457 . Biuletyn producenta: Ivanti April Security Advisory . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-22457 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma lub partner IT używa Ivanti Connect Secure, Policy Secure, ZTA lub Pulse Connect Secure | CTO | DZISIAJ |
2 | Uzyskać pisemnie wersję urządzenia i datę wgrania 22.7R2.6 lub odpowiednika | CTO | DZISIAJ |
3 | Zlecić sprawdzenie zewnętrznym narzędziem ICT, jeśli poprawka pojawiła się po 28 lutego 2025 | CTO | DZISIAJ |
4 | Zatwierdzić reset fabryczny bramy i czasową przerwę w pracy zdalnej | CTO | DO JUTRA |
5 | Przygotować komunikat do pracowników o przerwie w VPN i zmianie haseł | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę kryminalistyczną i ewentualną wymianę Pulse Connect Secure | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące ransomware i znanych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaki produkt Ivanti mamy i w jakiej wersji? | [produkt], [wersja] | 🔴 |
2 | Kiedy wgraliśmy wersję 22.7R2.6 (lub 22.7R1.4, 22.8R2.2)? | [data] | 🔴 |
3 | Czy uruchomiliśmy zewnętrzne narzędzie ICT i jaki był wynik? | TAK / NIE, wynik: [ ] | 🔴 |
4 | Czy po sprawdzeniu wykonaliśmy reset fabryczny urządzenia? | TAK / NIE | 🟠 |
5 | Czy sprawdziliśmy systemy, które łączyły się z bramą VPN? | TAK / NIE | 🟠 |
6 | Czy wymieniliśmy hasła, certyfikaty i tokeny, jeśli wykryto ślady? | TAK / NIE / NIE DOTYCZY | 🟠 |
7 | Kto imiennie śledzi biuletyny Ivanti i w jakim czasie wdraża poprawki? | [imię i nazwisko], [czas] | 🟡 |
CVE-2025-22457 pozwala bez hasła przejąć bramy VPN Ivanti Connect Secure, Policy Secure i ZTA Gateways, a CISA potwierdza użycie w ransomware, Mandiant zaś wskazuje chińską grupę szpiegowską UNC5221. Jeśli urządzenie nie miało poprawki przed końcem lutego 2025, zadanie na dziś to sprawdzić je zewnętrznym narzędziem ICT, zresetować do ustawień fabrycznych i dopiero wtedy zaktualizować, a przy śladach włamania wymienić wszystkie hasła i certyfikaty.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.