Il 2025 si apre con un copione già visto. L’8 gennaio Ivanti ha pubblicato gli aggiornamenti per la CVE-2025-0282, una vulnerabilità di gravità 9,0 nelle sue soluzioni di accesso remoto, già sfruttata come zero-day contro un numero limitato di clienti. Le autorità statunitensi l’hanno aggiunta subito al catalogo delle vulnerabilità sfruttate.
È un buffer overflow sullo stack che permette a un attaccante non autenticato di eseguire codice da remoto. Insieme è stata corretta la CVE-2025-0283, che consente a un utente locale di alzare i propri privilegi. Il prodotto più esposto è la VPN Connect Secure, vulnerabile prima della 22.7R2.5, già disponibile. Sono coinvolti anche Policy Secure fino alla 22.7R1.2 e i gateway Neurons for ZTA fino alla 22.7R2.3, per i quali le correzioni sono attese il 21 gennaio. Secondo Ivanti sono meno a rischio, perché non dovrebbero essere raggiungibili da Internet.
Gli attacchi sono cominciati a metà dicembre. Gli analisti li attribuiscono, con prudenza, a un gruppo di spionaggio legato alla Cina già protagonista delle campagne contro Ivanti dello scorso anno. Dopo l’accesso gli attaccanti installano una famiglia di malware che nasconde le proprie tracce, sopravvive agli aggiornamenti e in alcuni casi simula un aggiornamento senza installarlo davvero: l’amministratore vede la barra di avanzamento, ma la versione resta quella vulnerabile. Ivanti ha individuato i casi grazie al suo Integrity Checker Tool.
Prima controlla, poi aggiorna
L’ordine delle operazioni conta. Esegui prima l’Integrity Checker Tool, sia la versione interna sia quella esterna, e conserva i risultati. Se il controllo è pulito, aggiorna subito alla 22.7R2.5. Se trovi segni di compromissione, fai un ripristino ai valori di fabbrica prima di installare la nuova versione: aggiornare un dispositivo compromesso, in questo caso, potrebbe voler dire solo credere di averlo fatto.
In caso di compromissione revoca e cambia credenziali, certificati e chiavi presenti sul dispositivo, e controlla gli accessi da lì verso la rete interna. Verifica anche che Policy Secure e ZTA non siano raggiungibili da Internet, come dovrebbero.
Un anno fa, di questi tempi, si parlava delle due zero-day di Connect Secure sfruttate in massa. Se la tua VPN ha richiesto interventi d’emergenza due gennaio di fila, forse vale la pena chiederti se la soluzione di accesso remoto che usi sia ancora quella giusta.
