Ivanti 应用程序/服务中部署的 TRAILBLAZE 和 BRUSHFIRE 恶意软件

IT 软件供应商 Ivanti 最近发布了一个现已修补的关键安全漏洞的详细信息，该漏洞影响 Ivanti Connect Secure (ICS) VPN 设备、Pulse Connect Secure、Ivanti Policy Secure 和 ZTA 网关，该漏洞正在被广泛利用。

该漏洞被识别为 CVE-2025-22457（CVSS 评分为 9.0），是一个基于堆栈的缓冲区溢出，允许未经身份验证的远程攻击者在受影响的系统上实现远程代码执行，可能导致整个系统受损。不过，此缺陷已在 2025 年 2 月 11 日发布的 Ivanti Connect Secure 版本 22.7R2.6 中得到修复。

Ivanti 表示：“该漏洞是一个缓冲区溢出，字符仅限于句点和数字，经评估后确定该漏洞不能用于远程执行代码，也不符合拒绝服务的要求。”在周四发布的安全建议中表示。

该漏洞影响以下产品及版本：

产品名称	受影响的版本	已解决的版本	补丁可用性
Ivanti 连接安全	22.7R2.5 及更早版本	22.7R2.6（2025 年 2 月 11 日发布）	下载门户
脉冲安全连接 (EoS)	9.1R18.9 及之前版本	22.7R2.6	联系 Ivanti 进行迁移
Ivanti 政策安全	22.7R1.3 及之前版本	22.7R1.4	4月21日
ZTA 网关	22.8R2 及更早版本	22.8R2.2	4月19日

Ivanti 表示，它知道使用 Ivanti Connect Secure（22.7R2.5 及更早版本）和 Pulse Connect Secure 9.1x 的“客户数量有限”，这些设备已于 2024 年 12 月停产，已被利用。它补充说，截至披露时，它还不知道有任何在野外利用 Policy Secure 或 ZTA 网关的情况。

该公司补充道：“客户应监控其外部 ICT 并查找 Web 服务器崩溃情况。如果您的 ICT 结果显示受到损害的迹象，则应在设备上执行出厂重置，然后使用版本 22.7R2.6 将设备重新投入生产。”

在 Ivanti 披露后，Google 旗下的 Mandiant 发布了一篇单独的博客文章，其中详细介绍了 CVE-2025-22457 漏洞利用后的其他发现结果。

据 Mandiant 称，第一个已知的 CVE-2025-22457 漏洞利用事件是在 2025 年 3 月中旬观察到的，据信是由与中国有联系的间谍组织 UNC5221 实施的，该组织自 2023 年以来就有利用 Ivanti 产品中的零日漏洞的历史。UNC5221 此前曾利用过三个零日漏洞：CVE-2025-0282,CVE-2023-46805和CVE-2024-21887。

确保自己的安全

同时，Mandiant 强烈敦促组织立即应用可用补丁，将 Ivanti Connect Secure (ICS) 设备升级到版本 22.7R2.6 或更高版本，以解决 CVE-2025-22457 漏洞。

此外，它建议组织应使用外部和内部完整性检查工具（“ICT”），并在检测到任何可疑活动时联系 Ivanti 支持。