最近の脆弱性 › CVE-2019-11539

Ivanti Pulse Connect Secure and Pulse Policy Secure のコマンドインジェクションの脆弱性（CVE-2019-11539）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2019-11539
製品	Ivanti Pulse Connect Secure and Pulse Policy Secure
深刻度（CVSS）	7.2 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2021-11-03
米国政府機関の対応期限	2022-05-03
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-78

何が起きた

Pulse Connect Secure と Pulse Policy Secure（現在は Ivanti の製品）の管理用のウェブ画面に、ログイン済みの攻撃者がコマンド（命令）を差し込んで実行できる弱点（コマンドインジェクション）が見つかりました。CISA によると実際に悪用されており、ランサムウェア（身代金を要求する攻撃）での悪用も知られています。NVD の評価では、攻撃者はネットワーク経由で悪用できますが、管理者などの高い権限が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、Pulse Connect Secure の 9.0RX は 9.0R3.4 より前、8.3RX は 8.3R7.1 より前、8.2RX は 8.2R12.1 より前、8.1RX は 8.1R15.1 より前が影響を受けます。Pulse Policy Secure の 9.0RX は 9.0R3.2 より前、5.4RX は 5.4R7.1 より前、5.3RX は 5.3R12.1 より前、5.2RX は 5.2R12.1 より前、5.1RX は 5.1R15.1 より前が影響を受けます。

何をすればいい

使っている系列ごとに、Pulse Connect Secure は 9.0R3.4、8.3R7.1、8.2R12.1、8.1R15.1 以降、Pulse Policy Secure は 9.0R3.2、5.4R7.1、5.3R12.1、5.2R12.1、5.1R15.1 以降に更新されているか確認してください。公式の案内を確認し、古いバージョンが使われていないか確認することも大切です。

やることチェックリスト

Pulse Connect Secure を系列の修正版以降にする
Pulse Policy Secure を系列の修正版以降にする
機器ごとに今の版を確かめる

用語メモ

VPN: インターネットを通して、会社などのネットワークに安全に接続するためのしくみです。
コマンドインジェクション: 入力欄などに命令を紛れ込ませて、サーバーにその命令を実行させてしまう攻撃です。
ランサムウェア: データを使えなくして、元に戻す代わりにお金を要求する悪質なプログラムです。

元データ（英語・CISA KEV より）

Ivanti Pulse Connect Secure and Policy Secure Command Injection Vulnerability

概要

Ivanti Pulse Connect Secure and Policy Secure allows an authenticated attacker from the admin web interface to inject and execute commands.

推奨対応

Apply updates per vendor instructions.