Ivanti Pulse Connect Secure のコードインジェクションの脆弱性（CVE-2020-8243）

何が起きた

VPN 装置の Pulse Connect Secure の管理用の Web 画面に弱点があり、ログイン済みの攻撃者が、自分で作った画面のひな形（テンプレート）を送り込むことで、任意のプログラムを動かせるおそれがあります。実際の悪用も確認されています。NVD の評価では、ネットワーク経由で、管理者などの高い権限を持つ攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Pulse Secure の勧告では、Pulse Connect Secure 9.1Rx 以前と Pulse Policy Secure 9.1Rx 以前が対象で、9.1R8.2 で修正されています。NVD の説明でも、Pulse Connect Secure の 9.1R8.2 より前が対象とされています。

何をすればいい

Pulse Secure は、Pulse Connect Secure と Pulse Policy Secure を 9.1R8.2 に更新するよう案内しています。9.1R8.2 以降に更新されているか、公式の案内を確認してください。これはサーバー側だけの修正で、Pulse Desktop Client の更新は要らないとされています。回避策として、管理用の Web 画面を内部用または管理用のネットワークの窓口だけに限り、インターネットからの接続を止めること、管理者のログインに多要素認証を使うことが示されています。

やることチェックリスト

• Pulse Connect Secure を 9.1R8.2 以降に更新する
• 管理画面へのインターネットからの接続を止める
• 管理者のログインに多要素認証を設定する

用語メモ

VPN

インターネットを通して、離れた場所から社内のネットワークに安全につなぐ仕組みです。

テンプレート

画面などを作るためのひな形で、決まった場所に文字などを差し込んで使います。

多要素認証

パスワードに加えて、スマホに届く番号など別の確認を組み合わせてログインする方法です。