• ひとことでPulse Connect Secureの管理画面で、細工したURIからプログラムを実行される弱点です。
  • 深刻度7.2 重要CVSS v3.1
  • まずやることPulse Connect Secureの版を調べる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2020-8218
製品Pulse Secure Pulse Connect Secure
深刻度（CVSS）7.2 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2022-03-07
米国政府機関の対応期限2022-09-07
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-94（コードインジェクション）

何が起きた

VPN 装置の Pulse Connect Secure に、外から送られた文字をプログラムとして実行してしまう弱点（コードインジェクション）が見つかり、実際に悪用が確認されています。攻撃者が細工した URI を使うと、管理用の Web 画面を通じて任意のプログラムを実行できるおそれがあります。NVD の評価では、ネットワーク経由で悪用でき、管理者などの高い権限が必要で、利用者の操作は不要とされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が管理用のWeb画面に入る → 2. 細工したURIを送る → 3. 任意のプログラムが実行される1攻撃者が管理用のWeb画面に入る2細工したURIを送る3任意のプログラムが実行される攻撃の流れ: 1. 攻撃者が管理用のWeb画面に入る → 2. 細工したURIを送る → 3. 任意のプログラムが実行される1攻撃者が管理用のWeb画面に入る2細工したURIを送る3任意のプログラムが実行される攻撃の流れ: 1. 攻撃者が管理用のWeb画面に入る → 2. 細工したURIを送る → 3. 任意のプログラムが実行される1攻撃者が管理用のWeb画面に入る2細工したURIを送る3任意のプログラムが実行される

誰が影響を受ける

Pulse Secure の勧告 SA44516 では、Pulse Connect Secure と Pulse Policy Secure の 9.1R8 より前の版を使っている組織が影響を受けます。

何をすればいい

Pulse Secure の勧告 SA44516 に従い、Pulse Connect Secure と Pulse Policy Secure のサーバーのソフトウェアを 9.1R8 以降に更新してください。サーバー側だけの修正なので、Pulse Desktop Client を更新する必要はありません。

やることチェックリスト

  • Pulse Connect Secureの版を調べる
  • 9.1R8以降に更新する
  • Pulse Policy Secureも9.1R8以降にする

用語メモ

コードインジェクション 用語集で見る
外から送り込んだ文字を、ソフトがプログラムとして実行してしまう弱点のことです。
URI
Web 上の場所や資源を示す文字列で、URL もその一種です。
VPN 用語集で見る
インターネット越しに、会社などのネットワークへ安全につなぐための仕組みです。

次に読む

基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Pulse Connect Secure Code Injection Vulnerability

概要

A code injection vulnerability exists in Pulse Connect Secure that allows an attacker to crafted a URI to perform an arbitrary code execution via the admin web interface.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る