Ivanti ha publicado actualizaciones de seguridad críticas que abordan múltiples vulnerabilidades de alta y mediana severidad en sus productos de puerta de enlace de Connect Secure, Policy Secure y Zero Trust Access (ZTA).
Las vulnerabilidades, identificadas a través del descubrimiento interno y los programas de divulgación responsables, podrían permitir a los atacantes remotos desencadenar ataques de denegación de servicio (DOS) sin autenticación, aunque no se ha detectado una explotación activa en el momento de la divulgación.
Control de llave
1. Cuatro vulnerabilidades en productos Ivanti permiten ataques de DOS remotos sin autenticación.
2. Actualizar Conecte Seguro, Policy Secure y ZTA Gateway inmediatamente.
3. Las implementaciones locales requieren actualizaciones manuales.
Vulnerabilidades de desbordamiento del búfer y DOS divulgadas
El aviso de seguridad abarca cuatro vulnerabilidades y exposiciones comunes (CVE) distintas, con dos clasificadas como amenazas de alta severidad.
CVE-2025-5456, con puntaje 7.5 en el Sistema de puntuación de vulnerabilidad común (CVSS), representa una vulnerabilidad excesiva de leído del búfer (CWE-125) que permite a los atacantes no autenticados remotos activar condiciones de denegación de servicio.
La vulnerabilidad afecta a las versiones seguras de Ivanti Connect antes del 22.7R2.8 o 22.8R2, la política segura antes del 22.7R1.5, la puerta de enlace ZTA antes de 2.8R2.3-723 y neuronas para el acceso seguro antes del 22.8R1.4.
Del mismo modo, CVE-2025-5462 presenta una vulnerabilidad de desbordamiento de búfer basada en el montón (CWE-122, CWE-476) con una puntuación y potencial de impacto de CVSS idéntico.
Esta falla permite a los atacantes remotos no autenticados explotar la misma gama de productos afectados, lo que puede causar interrupciones en el servicio a través de ataques de corrupción de la memoria.
Ambas vulnerabilidades utilizan el vector CVSS “CVSS: 3.0/AV: N/AC: L/PR: N/UI: N/S: U/C: N/I: N/A: H”, que indican ataques basados en la red con baja complejidad y alto impacto de disponibilidad.
Dos vulnerabilidades adicionales de severidad media incluyen CVE-2025-5466, una vulnerabilidad de entidad externa XML (XXE) (CWE-776) que requiere privilegios administrativos y CVE-2025-5468, que implica la manejo de enlaces simbólicos incorrectos (CWE-61) que podrían encontrar la discripción de archivos locales.
Cvetitlecvss 3.0severitycve-2025-5456buffer over-leído
Disponibilidad de parche
Los usuarios seguros de Ivanti Connect deben actualizarse a la versión 22.7R2.8 o 22.8R2, disponible a través del portal de descarga estándar en portal.ivanti.com.
Las implementaciones seguras de las políticas requieren la actualización de la versión 22.7R1.5 a través del mismo canal de distribución.
Los administradores de la puerta de enlace de ZTA pueden acceder a la versión parcheada 22.8R2.3-723 directamente a través de su interfaz de controlador, con disponibilidad a partir del 2 de agosto de 2025.
Para las neuronas para clientes seguros de acceso a la nube, Ivanti implementó de manera proactiva las correcciones en entornos en la nube el 2 de agosto de 2025, eliminando la necesidad de intervención del cliente.
Ivanti enfatiza que no se ha observado la explotación del cliente antes de la divulgación pública, con vulnerabilidades descubiertas a través de evaluaciones de seguridad internas y programas de divulgación responsables.
Los usuarios Pulse Connect Secure 9.x enfrentan una exposición de seguridad adicional, ya que esta versión del producto alcanzó el fin de apoyo del 31 de diciembre de 2024, y ya no recibe backports de seguridad.
La compañía recomienda encarecidamente la implementación inmediata de parches, particularmente para los portales administrativos orientados a Internet que podrían amplificar los vectores de ataque.
Aumente su SOC y ayude a su equipo a proteger su negocio con inteligencia gratuita de amenazas de primer nivel: Solicitar prueba de prueba premium de búsqueda TI.
