Ivanti Connect Secure栈溢出漏洞（CVE-2025-0282）分析与复现
💡
原文中文，约2400字，阅读约需6分钟。
📝
内容提要
Ivanti Connect Secure等产品存在栈缓冲区溢出漏洞，攻击者可利用该漏洞进行未授权的远程代码执行。该漏洞影响多个版本，并已被APT组织利用。通过逆向分析发现，漏洞源于处理客户端属性时错误使用长度参数，导致溢出并覆盖返回地址。尽管存在安全措施，但可通过ROP技术绕过。最终分析确定了栈布局及解决方案。
🎯
关键要点
- Ivanti Connect Secure等产品存在栈缓冲区溢出漏洞，攻击者可利用该漏洞进行未授权的远程代码执行。
- 该漏洞影响多个版本，包括Ivanti Connect Secure 22.7R2 - 22.7R2.4等。
- 漏洞源于处理客户端属性时错误使用长度参数，导致溢出并覆盖返回地址。
- 攻击者可通过ROP技术绕过安全措施，执行任意代码。
- 复现环境为Ivanti Connect Secure 22.7R2.3，配置成功后可通过命令行管理。
- 逆向分析发现，clientCapabilities属性值的长度控制导致栈缓冲区溢出。
- 溢出后可覆盖返回地址，但程序的安全措施使得直接执行变得复杂。
- 需要解决虚函数调用和内存释放等问题，以确保程序正常执行。
- 最终确定了栈布局及解决方案，确保能够执行到覆盖的返回地址。
❓
延伸问答
Ivanti Connect Secure的栈溢出漏洞是什么？
Ivanti Connect Secure存在栈缓冲区溢出漏洞，攻击者可利用该漏洞进行未授权的远程代码执行。
哪些版本的Ivanti产品受到该漏洞影响？
受影响的版本包括Ivanti Connect Secure 22.7R2 - 22.7R2.4、Ivanti Policy Secure 22.7R1 - 22.7R1.2和Ivanti Neurons for ZTA gateways 22.7R2 - 22.7R2.3。
该漏洞是如何被攻击者利用的？
攻击者通过发送超过256字节的clientCapabilities属性值，导致栈缓冲区溢出并覆盖返回地址，从而执行任意代码。
在复现该漏洞时需要注意哪些环境配置？
复现环境为Ivanti Connect Secure 22.7R2.3，需设置IP地址和管理员账号，配置成功后可通过命令行管理。
攻击者如何绕过程序的安全措施？
攻击者可以使用ROP技术绕过程序的NX和PIE保护，执行任意代码。
解决该漏洞的最终方案是什么？
最终确定了栈布局及解决方案，确保能够执行到覆盖的返回地址，解决虚函数调用和内存释放问题。
➡️
