【活用ガイド】

JVNDB-2018-001297

Pulse Secure Linux GUI における SSL サーバ証明書の検証不備の脆弱性

概要

Pulse Secure Linux GUI には、 SSL サーバ証明書の検証に不備があり、攻撃者によって接続設定を変更される問題が存在します。

Pulse Secure は SSL-VPN リモートアクセス製品です。 Pulse Secure Linux の GUI クライアントには WebKit が使用され、GUI による処理は JavaScript 関数のオーバライドにより実装されています。しかし、当該製品の WebKit には SSL サーバ証明書の検証エラーを検知しない不備が存在します。そのため、GUI クライアントが信頼できないネットワークに存在する VPN サーバへ接続する際、攻撃者はこの GUI クライアントの動作に介入することが可能です。例えば、攻撃者は VPN 接続設定を変更したり、新しい設定を作成することが可能となります。また Pulse Secure Linux GUI クライアントが VPN 接続を確立した際に表示されるウェルカムメッセージを改ざんすることも可能となります。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 5.6 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 高
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 低
  • 完全性への影響(I): 低
  • 可用性への影響(A): 低
CVSS v2 による深刻度
基本値: 5.1 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 高
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): 部分的
影響を受けるシステム


パルスセキュア
  • Pulse Secure Linux GUI

想定される影響

攻撃者によって Pulse Secure Linux GUI とサーバとの間のトラフィックを改ざんされ、接続設定を変更されたり、ユーザに表示される情報を改ざんされたりする可能性があります。結果として、ユーザが悪意のあるサーバに接続される可能性があります。
対策

[アップデートする]
開発者が提供する情報をもとに、最新版へアップデートしてください。
本脆弱性は Pulse Secure PULSE5.3R4.2 Software (Build 639) および PULSE5.2R9.2 Software (Build 638) で対策されています。
詳細は、開発者が提供する情報をご確認ください。

開発者が提供する情報
https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA43620

[ワークアラウンドを実施する]
次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。

　　　* Pulse Secure Linux client CLI を使用する

Pulse Secure Linux GUI を使用しないことで、SSL サーバ証明書の検証を行わない脆弱なコードの実行を回避することが可能です。

　　　* Pulse Secure Linux GUI を信頼できないネットワークに接続しない

Pulse Secure Linux GUI を信頼できないネットワークに接続しないことで、本脆弱性を使用した攻撃を受けるリスクを最小限に抑えることが可能です。
ベンダ情報

パルスセキュア
CWEによる脆弱性タイプ一覧  CWEとは?

共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2018-6374
参考情報

  1. JVN : JVNVU#91550568
  2. National Vulnerability Database (NVD) : CVE-2018-6374
  3. US-CERT Vulnerability Note : VU#319904
更新履歴

  • [2018年02月06日]
      掲載
  • [2018年04月11日]
      参考情報：National Vulnerability Database (NVD) (CVE-2018-6374) を追加

公表日2018/02/01
登録日2018/02/06
最終更新日2018/04/11