JVNDB-2021-001375

Pulse Connect Secure に任意コード実行の脆弱性

Pulse Connect Secure には任意コード実行の脆弱性が存在します。

Pulse Connect Secure の持つ Windows File Share Browser および Pulse Secure Collaboration 機能に、認証を回避し任意のコード実行を可能とする脆弱性 (CVE-2021-22893) が発見されました。
FireEye が公開したレポートによると、2021年4月21日現在、本脆弱性や既知の脆弱性を悪用した攻撃がすでに確認されています。

パルスセキュア

• Pulse Connect Secure (PCS) version 9.0R3 およびそれ以降

遠隔の第三者によって細工されたリクエストを Pulse Connect Secure が受信することにより、認証を回避され、当該機器上で任意のコードを実行される可能性があります。

[アップデートする]
開発者が提供する情報をもとに、最新版にアップデートしてください。
開発者は、本脆弱性を修正した次のバージョンをリリースしています。

　* Pulse Connect Secure 9.1R11.4

[ワークアラウンドを適用する]
開発者は回避策として次のxmlファイルの適用を推奨しています。

　* Workaround-2104.xml

このファイルを適用することにより、Windows File Share Browser と Pulse Secure Collaboration が無効化されます。ただし、このXMLは version 9.0R1 から 9.0R4.1 および 9.1R1 から 9.1R2 では動作しません。これらのバージョンを使用している場合は、PCS をアップデートしてから適用する必要があります。

また、開発者は Pulse Secure Connect で不審なファイルの設置や改ざんが行われていないか確認するためのツール Pulse Connect Secure Integrity Tool を公開しています。詳細は開発者が提供する情報を参照してください。

パルスセキュア

• Security Advisories : KB44755 - Pulse Connect Secure (PCS) Integrity Assurance
• Security Advisories : SA44784 - 2021-04: Out-of-Cycle Advisory: Multiple Vulnerabilities Resolved in Pulse Connect Secure 9.1R11.4

1. 解放済みメモリの使用(CWE-416) [NVD評価]

1. CVE-2021-22893

1. JVN : JVNVU#94842247
2. National Vulnerability Database (NVD) : CVE-2021-22893
3. JPCERT 緊急報告 : Pulse Connect Secureの脆弱性 (CVE-2021-22893) に関する注意喚起
4. US-CERT Vulnerability Note : VU#213092
5. US-CERT Current Activity : CISA Releases Alert on Exploitation of Pulse Connect Secure Vulnerabilities
6. US-CERT Current Activity : CISA Issues Emergency Directive on Pulse Connect Secure
7. 関連文書 : Check Your Pulse: Suspected APT Actors Leverage Authentication Bypass Techniques and Pulse Secure Zero-Day

• [2021年04月22日]
    掲載
• [2021年05月07日]
    対策：内容を更新
    ベンダ情報：内容を更新