在Ivanti Apps/Services中部署的Treablaze＆Brushfire恶意软件

IT软件供应商Ivanti最近发布了影响Ivanti Connect Secure（ICS）VPN设备，Pulse Connect Secure，Ivanti Policy Secure和ZTA Gateways的现已绘制的关键安全漏洞的详细信息，该设备正在野外积极利用。

该脆弱性被确定为CVE-2025-22457（CVSS得分为9.0），是一种基于堆栈的缓冲区溢出，允许远程未经授权的攻击者在受影响的系统上实现远程代码执行，可能导致完整的系统妥协。但是，该缺陷是在2025年2月11日发布的Ivanti Connect Secure 22.7r2.6中固定的。

“漏洞是一个缓冲区溢出，字符仅限于时期和数字，对其进行了评估，并确定不作为远程代码执行，并且不符合拒绝服务的要求，” ivanti在周四发布的安全建议中说。

漏洞会影响以下产品和版本：

产品名称	受影响的版本	已解决版本	补丁可用性
Ivanti Connect Secure	22.7r2.5和先验	22.7r2.6（2025年2月11日发布）	下载门户
脉冲连接安全（EOS）	9.1R18.9和先验	22.7r2.6	联系Ivanti迁移
Ivanti政策安全	22.7r1.3和先验	22.7r1.4	4月21日
ZTA网关	22.8R2和先验	22.8r2.2	4月19日

Ivanti表示，使用Ivanti Connect Secure（22.7r2.5及更早）和Pulse Connect Secure 9.1X，设备在2024年12月终止时，它已经意识到了“有限数量的客户”和Pulse Connect Secure 9.1X，已被利用。它补充说，由于披露时，它不知道对野外的策略安全或ZTA网关的任何剥削。

该公司补充说：“客户应监视其外部ICT并查找Web服务器崩溃。如果您的ICT结果显示出折衷的迹象，则应在设备上执行出厂设备重置，然后使用版本22.7R2.6将设备重新放回生产中。”

伊万蒂（Ivanti）披露后，Google拥有的Mandiant发布了一篇单独的博客文章，其中详细介绍了CVE-2025-22457脆弱性，后解放后的其他发现。

根据Mandiant的说法，在2025年3月中旬观察到CVE-2025-22457剥削的第一个已知实例，据信是由中国链接的Espionage Group unc5221进行的，他们具有利用零日漏洞的历史，自2023年以来iivanti产品中的零日漏洞。CVE-2025-0282，，，，CVE-2023-46805和CVE-2024-21887。

保持安全

同时，Mandiant强烈敦促组织通过将Ivanti Connect Secure（ICS）设备升级到版本22.7R2.6或更高版本，以立即应用可用的补丁程序，以解决CVE-2025-22457脆弱性。

此外，它建议组织使用外部和内部完整性检查器工具（“ ICT”），并在检测到任何可疑活动时与Ivanti支持。