Ein nicht authentifizierter Angreifer aus dem Internet kann über einen Stack-Buffer-Overflow eigenen Code auf dem Gerät ausführen – ohne Zugangsdaten, ohne Nutzerinteraktion. Die China-nahe Gruppe UNC5221 hat den ursprünglich als harmlos eingestuften Fehler durch Reverse-Engineering des Patches waffenfähig gemacht und nutzt ihn seit Mitte März 2025 aktiv aus.
Advisory als PDF herunterladenEin Handler in Connect Secure prüft die Länge einer eingehenden Eingabe nicht ausreichend und schreibt über die Grenzen eines Stack-Puffers hinaus (Stack-Based Buffer Overflow, CWE-121 / CWE-787). Ivanti hielt den Fehler zunächst für einen nicht ausnutzbaren Denial-of-Service und schloss ihn still in 22.7R2.6. UNC5221 verglich den Patch mit der Vorversion, rekonstruierte die Schwachstelle und entwickelte einen zuverlässigen Weg zur Code-Ausführung – gegen ungepatchte Systeme.
| Produkt / Zweig | Verwundbar | Fixversion |
|---|---|---|
| Connect Secure | ≤ 22.7R2.5 (inkl. EOL 9.x) | 22.7R2.6 |
| Policy Secure | < 22.7R1.4 | 22.7R1.4 |
| ZTA Gateways | < 22.8R2.2 | 22.8R2.2 |
| Neurons for Secure Access | betroffen – Rollout über Ivanti | Patch-Status mit Ivanti abstimmen |
Der Patch für Connect Secure (22.7R2.6) wurde bereits am 11.02.2025 veröffentlicht; die Fixes für Policy Secure und ZTA Gateways folgten Mitte/Ende April 2025. End-of-Life-Versionen der Zscaler-9.x-Reihe erhalten keine Fixes und müssen migriert werden. Exakte Build-Ranges gegen das Hersteller-Advisory abgleichen.
Regulatorischer Hinweis: Ein bestätigter unbefugter Zugriff auf ein Perimeter-Gateway kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Patch vor Entwarnung, Kompromittierung immer ausschließen.
Connect Secure 22.7R2.6 · Policy Secure 22.7R1.4 · ZTA 22.8R2.2). EOL-9.x-Systeme erhalten keinen Fix und müssen auf eine unterstützte Linie migriert werden.web-Prozesses prüfen. Ein Patch schließt die Lücke – nicht einen bereits erfolgten Einbruch. Bei Verdacht Factory-Reset auf sauberer Firmware, nicht nur Upgrade./tmp/.i
MD5 4628a501088c31f53b5c9ddf6788e835/tmp/.r
MD5 e5192258c27e712c7acf80303e68980b/bin/dsmain · /lib/libdsupgrade.so
/tmp/.liblogblock.soZur Einordnung: Die Hashes und Dateipfade stammen aus der von Mandiant analysierten Kampagne und sind flüchtig – kein Ersatz für den Lauf des Integrity Checker Tools und die Analyse Ihrer Gateway-Logs. SPAWNSLOTH manipuliert lokales Logging und Syslog-Weiterleitung; fehlende Logs sind selbst ein Warnzeichen.
Wichtig: Der Fehler wurde als DoS unterschätzt und still gepatcht – Angreifer haben genau diesen Patch analysiert, um die RCE zu entwickeln. Wer 22.7R2.6 nicht eingespielt hat, ist gegen eine bereits waffenfähige, aktiv genutzte Schwachstelle exponiert. Die eingesetzte Malware deaktiviert zudem Logs; ein Einbruch bleibt ohne Integritätsprüfung unsichtbar.
Ivanti April Security Advisory CVE-2025-22457 · NVD (CVSS 3.1 9,8) · CISA Known Exploited Vulnerabilities Catalog (aufgenommen 04.04.2025, Ransomware-Bezug bekannt) · Google/Mandiant Threat Intelligence (UNC5221, TRAILBLAZE/BRUSHFIRE/SPAWN). Angaben nach bestem Wissen zum Stand 14.07.2026; Fixversionen und Build-Ranges gegen das Hersteller-Advisory des jeweiligen Produkts abgleichen. Argos Security ist ISO/IEC 27001 (TÜV SÜD) zertifiziert.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Zu dieser Schwachstelle sind Kompromittierungs-Indikatoren bekannt. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Integritätsabweichungen am Gateway, Core-Dumps des web-Prozesses und anomale TLS-Client-Zertifikate. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
STRUKTURELL
Solange der Dienst aus dem Internet erreichbar ist, bleibt er Ziel. Mittelfristig kann ein ZTNA-Ansatz diese Exposition verringern. Kurzfristig zählt der Patch.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.