CVEノート

最近の脆弱性 › CVE-2020-8218

Pulse Secure Pulse Connect Secure のコードインジェクションの脆弱性（CVE-2020-8218）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2020-8218
製品Pulse Secure Pulse Connect Secure
深刻度（CVSS）7.2 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2022-03-07
米国政府機関の対応期限2022-09-07
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-94

何が起きた

VPN 装置の Pulse Connect Secure に、外から送られた文字をプログラムとして実行してしまう弱点（コードインジェクション）が見つかり、実際に悪用が確認されています。攻撃者が細工した URI を使うと、管理用の Web 画面を通じて任意のプログラムを実行できるおそれがあります。NVD の評価では、ネットワーク経由で悪用でき、管理者などの高い権限が必要で、利用者の操作は不要とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が管理用のWeb画面に入る → 2. 細工したURIを送る → 3. 任意のプログラムが実行される1攻撃者が管理用のWeb画面に入る2細工したURIを送る3任意のプログラムが実行される攻撃の流れ: 1. 攻撃者が管理用のWeb画面に入る → 2. 細工したURIを送る → 3. 任意のプログラムが実行される1攻撃者が管理用のWeb画面に入る2細工したURIを送る3任意のプログラムが実行される

誰が影響を受ける

Pulse Secure の勧告 SA44516 では、Pulse Connect Secure と Pulse Policy Secure の 9.1R8 より前の版を使っている組織が影響を受けます。

何をすればいい

Pulse Secure の勧告 SA44516 に従い、Pulse Connect Secure と Pulse Policy Secure のサーバーのソフトウェアを 9.1R8 以降に更新してください。サーバー側だけの修正なので、Pulse Desktop Client を更新する必要はありません。

やることチェックリスト

用語メモ

コードインジェクション
外から送り込んだ文字を、ソフトがプログラムとして実行してしまう弱点のことです。
URI
Web 上の場所や資源を示す文字列で、URL もその一種です。
VPN
インターネット越しに、会社などのネットワークへ安全につなぐための仕組みです。

元データ（英語・CISA KEV より）

Pulse Connect Secure Code Injection Vulnerability

概要

A code injection vulnerability exists in Pulse Connect Secure that allows an attacker to crafted a URI to perform an arbitrary code execution via the admin web interface.

推奨対応

Apply updates per vendor instructions.

公式情報