Blog
CVE‑2025‑22457 es una vulnerabilidad crítica de ejecución remota de código (RCE) en dispositivos Ivanti Connect Secure (ICS), sus equivalentes Policy Secure y ZTA Gateways, y versiones EoS de Pulse Connect Secure. Descubierta en febrero de 2025 y puntuada con CVSS 9.0–9.8, permite a un atacante sin autenticación comprometer dispositivos periféricos clave en redes corporativas, gubernamentales y de infraestructura crítica.
Este tipo de dispositivos actúa como puerta de enlace para usuarios remotos, por lo que representa un punto crítico de vulnerabilidad. Aunque inicialmente se clasificó como un posible "denial-of-service", rápidamente evolucionó a una amenaza de RCE tras análisis profundo y explotación activa por actores con presunto vínculo con China (UNC5221) en marzo de 2025.
La vulnerabilidad se origina en un desbordamiento de buffer basado en pila (CWE-121) dentro del servicio web que procesa el encabezado X‑Forwarded‑For. Cuando se envía un valor excesivamente largo en este campo, no se comprueba adecuadamente su tamaño, lo que permite sobrescribir datos críticos en la pila del proceso web.
Aunque limitado a ciertos caracteres (números y puntos), con un desarrollo cuidadoso se logró un RCE confiable.
Atacante envía un HTTP POST/GET con un encabezado X‑Forwarded‑For malicioso.
La pila se corrompe, redirigiendo la ejecución hacia un shellcode incluido en la misma petición.
Se obtiene un shell inverso o ejecución directa de comandos.
En instalaciones reales, se desplegaron dropper scripts como TRAILBLAZE, inyectaron backdoors como BRUSHFIRE y malware del ecosistema SPAWN.
printf "GET / HTTP/1.1\r\nHost: target\r\nX-Forwarded-For: %s\r\n\r\n" "$(head -c 20000 < /dev/zero)" | nc target 443
Este payload de prueba puede provocar crash (DoS) para validar presencia de la vulnerabilidad. Un exploit real incluirá un shellcode ROP para Control de Flujo.
Dev Rapid7 publicó un PoC en Ruby que automatiza el brute‑force de ASLR, apunta a un reverse shell bash y confirma RCE.
CVE‑2025‑22457 demuestra el riesgo de vulnerabilidades en dispositivos edge: un simple encabezado HTTP malvalidado permitió acceso total sin autenticación. Inicialmente subestimado como un bug de DoS, se convirtió rápidamente en una amenaza crítica tras su explotación por grupos sofisticados como UNC5221, que desplegaron malware avanzado.
📌 Lecciones clave:
Este incidente recalca la importancia de una gestión proactiva de vulnerabilidades, parcheo urgente y arquitectura sólida para proteger los elementos más expuestos de la infraestructura.
