Kwetsbaarheid in Ivanti Connect Secure, Policy Secure en ZTA Gateways

Ivanti Policy Secure en ZTA gateways zijn netwerkbeheeroplossingen. Daarnaast zijn Pulse Connect Secure appliances 9.1X ook kwetsbaar. Dit product is End-of-Life en End-of-Support en krijgt geen (beveiligings)updates meer zo meldt Digital Trust Center.

Actief misbruik

Ivanti meldt dat het informatie heeft ontvangen dat de kwetsbaarheid is misbruikt op Ivanti Connect Secure en Pulse Connect Secure. Over misbruik op Policy Secure en ZTA Gateways is geen informatie beschikbaar.

Het Nationaal Cyber Security Centrum (NCSC) meldt dat er nog veel Pulse Connect Secure systemen actief in gebruik en vindbaar via internet zijn. Dit is de reden dat het NCSC de inschaling van deze kwetsbaarheden heeft verhoogd naar ‘High-High’. Dit betekent dat zowel de kans op misbruik, als de mogelijke schade groot is. De kwetsbaarheid heeft het kenmerk CVE-2025-22457.

Wat is het risico?

Een kwaadwillende kan de kwetsbarheid misbruiken om willekeurige code uit te voeren op het kwetsbare systeem zonder voorafgaande authenticatie.

Welke producten en versies zijn kwetsbaar?

• Pulse Connect Secure (EoS)
• Ivanti Connect Secure, versie 22.7R2.5 en eerdere versies
• Ivanti Policy Secure, versie 22.7R1.3 en eerdere versie
• ZTA Gateways, versie 22.7R1.322.8R2 en eerdere versie

Wat kun je doen?

• Omdat deze productlijn End-of-Life en End-of-Support is, krijgen Pulse Connect Secure appliances geen updates meer. Het advies is daarom om deze systemen niet meer te gebruiken, uit te schakelen en te vervangen door ondersteunde systemen. Je kunt hiervoor contact opnemen met Ivanti of je eigen IT-dienstverlener.
• Ivanti heeft op 11 februari 2025 updates beschikbaar gesteld voor Ivanti Connect Secure. Door versie 22.7R2.6 uit te brengen is de kwetsbaarheid daarin verholpen als reguliere bug. Organisaties die deze updates (zie ookdit NCSC advies) hebben geïmplementeerd, zijn daardoor niet (meer) kwetsbaar.
• Voor Policy Secure is een update in ontwikkeling. Deze wordt 21 april 2025 verwacht.
• Ook voor ZTA Gateways is een update in ontwikkeling, deze wordt 19 april verwacht. Het NCSC geeft aan dat het risico voor deze systemen sterk gereduceerd is omdat er standaard maatregelen in deze producten zijn geïmplementeerd die actief misbruik moeilijker maken.

Meer informatie

Voor meer informatie over deze kwetsbaarheid, bekijk het volledige beveiligingsadvies van het NCSC en houd de webpagina van Ivanti in de gaten voor eventuele extra handelingsperspectieven.