Ivanti lanza actualizaciones de seguridad para CVE-2025-22457 en sus gateways.

Ivanti lanzó actualizaciones de seguridad para abordar vulnerabilidades (CVE-2025-22457) en Ivanti Connect Secure, Policy Secure y ZTA Gateways. Un actor de amenazas cibernéticas podría explotar CVE-2025-22457 para tomar el control de un sistema afectado.

CISA ha añadido CVE-2025-22457 a su Catálogo de Vulnerabilidades Explotadas Conocidas.

Consulte los siguientes recursos para obtener más orientación:

• Actualización de Seguridad de Abril | Ivanti
• Aviso de Seguridad de Abril Ivanti Connect Secure, Policy Secure & ZTA Gateways (CVE-2025-22457)
• Sospecha de Amenaza de China-Nexus Explotando la Vulnerabilidad Crítica de Ivanti Connect Secure (CVE-2025-22457) | Blog de Google Cloud

Para cualquier instancia de Ivanti Connect Secure que no haya sido actualizada antes del 28 de febrero de 2025, a la última parche de Ivanti (22.7R2.6) y todas las instancias de Pulse Connect Secure (EoS), Policy Secure y ZTA Gateways, CISA insta a los usuarios y administradores a implementar las siguientes acciones:

1. Llevar a cabo acciones de caza de amenazas:
   1. Ejecutar una Herramienta de Comprobación de Integridad (ICT) externa. Para obtener más orientación, consulte las instrucciones de Ivanti.
   2. Llevar a cabo acciones de caza de amenazas en cualquier sistema conectado a - o conectado recientemente a - el dispositivo Ivanti afectado.
2. Si las acciones de caza de amenazas determinan que no hay compromiso:
   1. Para el más alto nivel de confianza, llevar a cabo un restablecimiento de fábrica.
      1. Para sistemas en la nube y virtuales, realizar un restablecimiento de fábrica utilizando una imagen limpia conocida del dispositivo.
   2. Aplicar el parche descrito en el Aviso de Seguridad de Ivanti Connect Secure, Policy Secure & ZTA Gateways (CVE-2025-22457). Tenga en cuenta que los parches para Ivanti ZTA Gateways y Ivanti Policy Secure estarán disponibles el 19 y 21 de abril, respectivamente.
   3. Monitorear los servicios de autenticación o gestión de identidad que podrían estar expuestos.
   4. Continuar auditando las cuentas de acceso de nivel de privilegio.
3. Si las acciones de caza de amenazas determinan compromiso:
   1. Para los dispositivos que se confirmen comprometidos, aislar todas las instancias afectadas de la red. Mantener los dispositivos afectados aislados hasta que se completen las siguientes orientaciones y se apliquen los parches.
   2. Tomar una imagen forense (incluida la captura de memoria) o trabajar con Ivanti para obtener una copia de la imagen.
   3. Desconectar todas las instancias comprometidas.
   4. Para el más alto nivel de confianza, llevar a cabo un restablecimiento de fábrica.
      1. Para sistemas en la nube y virtuales, realizar un restablecimiento de fábrica utilizando una imagen limpia conocida del dispositivo.
   5. Revocar y volver a emitir cualquier certificado, clave y contraseña conectados o expuestos, incluyendo lo siguiente:
      1. Restablecer la contraseña de habilitación de admin.
      2. Restablecer las claves de interfaz de programación de aplicaciones (API) almacenadas.
      3. Restablecer la contraseña de cualquier usuario local definido en el gateway, incluyendo cuentas de servicio utilizadas para la configuración del servidor de autenticación.
   6. Si las cuentas de dominio asociadas con los productos afectados han sido comprometidas:
      1. Restablecer las contraseñas dos veces para las cuentas locales, revocar los tickets Kerberos y luego revocar los tokens para las cuentas en la nube en implementaciones híbridas.
      2. Para dispositivos unidos/registrados en la nube, deshabilitar los dispositivos en la nube para revocar los tokens del dispositivo.
   7. Aplicar el parche descrito en el Aviso de Seguridad de Ivanti Connect Secure, Policy Secure & ZTA Gateways (CVE-2025-22457). Tenga en cuenta que los parches para Ivanti ZTA Gateways y Ivanti Policy Secure estarán disponibles el 19 y 21 de abril, respectivamente.
   8. Reportar a CISA e Ivanti de inmediato.

Las organizaciones deben reportar incidentes y actividad anómala al Centro de Operaciones 24/7 de CISA en Report@cisa.gov o (888) 282-0870.