Ivanti Pulse Connect Secure の脆弱性（CVE-2019-11510）

何が起きた

VPN 製品の Pulse Connect Secure（現在は Ivanti の製品）で、細工した URI（アクセス先の指定）を送ると、サーバー上の任意の（攻撃者が好きに選べる）ファイルを読み出せる弱点が見つかりました。CISA の注意喚起によると、攻撃者は、接続中の利用者の情報と、暗号化されていない状態の認証情報（パスワードなど）を手に入れるおそれがあります。CISA によると実際に悪用されており、ランサムウェア（身代金を要求する攻撃）での悪用も知られています。NVD の評価では、攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、Pulse Connect Secure の 8.2 は 8.2R12.1 より前、8.3 は 8.3R7.1 より前、9.0 は 9.0R3.4 より前が影響を受けます。CISA の注意喚起では、これに加えて 8.1R1 - 8.1R15 も影響を受ける版として挙げられています。

何をすればいい

CISA は、メーカーの修正を当てる以外に有効な回避策はないとして、修正版への更新を強く求めています。8.2 は 8.2R12.1 以降、8.3 は 8.3R7.1 以降、9.0 は 9.0R3.4 以降に更新されているか確認してください。8.1 を使っている場合も、公式の案内を確認して修正版に更新してください。古いバージョンが使われていないか確認することも大切です。

やることチェックリスト

• 9.0 系列は 9.0R3.4 以降に更新する
• 8.3 系列は 8.3R7.1 以降に更新する
• 8.2 系列は 8.2R12.1 以降に更新する

用語メモ

VPN

インターネットを通して、会社などのネットワークに安全に接続するためのしくみです。

URI

ウェブ上の場所やファイルを指し示すための文字列です。URL もその一種です。

認証情報

ログインに使う ID やパスワードなど、本人であることを確かめるための情報です。

ランサムウェア

データを使えなくして、元に戻す代わりにお金を要求する悪質なプログラムです。