Foi divulgada, pela Ivanti, uma vulnerabilidade crítica que tem sido explorada ativamente por atacantes desde meados de março de 2025. Denominada CVE-2025-22457 (CVSS score: 9.0), ela se trata de um caso de buffer overflow que, caso explorada com sucesso, permitiria a execução remota de código arbirtário em sistemas afetados sem necessidade de autenticação ou interação por parte do usuário. Os produtos afetados por esta falha são:
- • Ivanti Connect Secure versões 22.7R2.5 e anteriores
- • Pulse Connect Secure versões 9.1R18.9 e anteriores
- • Ivanti Policy Secure versões 22.7R1.3 e anteriores
- • ZTA Gateways versões 22.8R2 e anteriores
Por outro lado, versões em que a vulnerabilidade foi corrigida são:
- • Ivanti Connect Secure versão 22.7R2.6
- • Pulse Connect Secure versão 22.7R2.6 (contatar a Ivanti para migrar já que não há mais suporte para este dispositivo desde 31/12/2024)
- • Ivanti Policy Secure versão 22.7R1.4 (será divulgada em 21/04/2025)
- • ZTA Gateways versão 22.8R2.2 (será divulgada em 19/04/2025)
Dada a severidade desta falha e o fato de que há registros de sua exploração por parte de atacantes, recomenda-se a atualização imediata dos sistemas afetados por ela. Para mais informações, consultar este artigo da Ivanti.