La empresa Ivanti ha alertado sobre una vulnerabilidad crítica en su producto Connect Secure, que está siendo explotada activamente por atacantes en ataques de día cero. La brecha, identificada como CVE-2025-0282 con un puntaje CVSS de 9.0, permite a un atacante no autenticado ejecutar código remoto en los dispositivos afectados.
Detalles técnicos de la vulnerabilidad
La falla se clasifica como una desbordamiento de búfer basada en pila y afecta a versiones anteriores a Ivanti Connect Secure 22.7R2.5, Ivanti Policy Secure 22.7R1.2 y anteriores, así como a Ivanti Neurons para puertas de enlace ZTA 22.7R2.3 y anteriores.
Ataques observados
Ivanti informó que los atacantes comenzaron a aprovechar la vulnerabilidad desde mediados de diciembre, utilizando un kit de herramientas de malware personalizado denominado Spawn. La empresa de ciberseguridad Mandiant, ahora parte de Google Cloud, vinculó esta actividad con una presunta operación de espionaje relacionada con China, rastreada como UNC5337 y posiblemente asociada a otro grupo, UNC5221.
Respuesta de Ivanti
Ivanti detectó la vulnerabilidad gracias al uso de su herramienta Ivanti Integrity Checker Tool (ICT), que identificó actividad maliciosa en los dispositivos de sus clientes. La empresa inició una investigación y confirmó que el ataque se está llevando a cabo como un día cero.
Actualizaciones disponibles
Ivanti ha publicado parches para la vulnerabilidad, resueltos en la versión 22.7R2.5 de Connect Secure. Sin embargo, los parches para Policy Secure y Neurons para puertas de enlace ZTA no estarán listos hasta el 21 de enero.
Impacto limitado
Aunque la vulnerabilidad afecta a tres productos, Ivanti afirma que solo se ha observado su explotación en los dispositivos Connect Secure. La empresa indica que no tiene conocimiento de ataques contra Policy Secure o Neurons para puertas de enlace ZTA.
Recomendaciones
Ivanti recomienda a los administradores realizar análisis de TIC internos y externos. Si los resultados son negativos, se sugiere un restablecimiento de fábrica antes de actualizar a la versión 22.7R2.5. En caso de signos de compromiso, el restablecimiento debería eliminar cualquier malware instalado.
Otra vulnerabilidad
Las actualizaciones también corrigen una segunda vulnerabilidad identificada como CVE-2025-0283, que permite a un atacante local autenticado aumentar sus privilegios. Sin embargo, Ivanti indica que esta falla no está siendo explotada ni se asocia con la primera.
Según el investigador Yutaka Sejiyama de Macnica, más de 3.600 dispositivos ICS estaban expuestos en la web pública cuando Ivanti lanzó un parche para la vulnerabilidad.