• ひとことでPulse Connect Secure の管理画面から、細工したひな形でプログラムを動かされる弱点です。
  • 深刻度7.2 重要CVSS v3.1
  • まずやることPulse Connect Secure を 9.1R8.2 以降に更新する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2020-8243
製品Ivanti Pulse Connect Secure
深刻度（CVSS）7.2 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2021-11-03
米国政府機関の対応期限2022-05-03
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-94（コードインジェクション）

何が起きた

VPN 装置の Pulse Connect Secure の管理用の Web 画面に弱点があり、ログイン済みの攻撃者が、自分で作った画面のひな形（テンプレート）を送り込むことで、任意のプログラムを動かせるおそれがあります。実際の悪用も確認されています。NVD の評価では、ネットワーク経由で、管理者などの高い権限を持つ攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が管理者としてログインできる状態を得る → 2. 管理画面から細工したテンプレートを送り込む → 3. 装置の上で任意のプログラムが動く1攻撃者が管理者としてログインできる状態を得る2管理画面から細工したテンプレートを送り込む3装置の上で任意のプログラムが動く攻撃の流れ: 1. 攻撃者が管理者としてログインできる状態を得る → 2. 管理画面から細工したテンプレートを送り込む → 3. 装置の上で任意のプログラムが動く1攻撃者が管理者としてログインできる状態を得る2管理画面から細工したテンプレートを送り込む3装置の上で任意のプログラムが動く攻撃の流れ: 1. 攻撃者が管理者としてログインできる状態を得る → 2. 管理画面から細工したテンプレートを送り込む → 3. 装置の上で任意のプログラムが動く1攻撃者が管理者としてログインできる状態を得る2管理画面から細工したテンプレートを送り込む3装置の上で任意のプログラムが動く

誰が影響を受ける

Pulse Secure の勧告では、Pulse Connect Secure 9.1Rx 以前と Pulse Policy Secure 9.1Rx 以前が対象で、9.1R8.2 で修正されています。NVD の説明でも、Pulse Connect Secure の 9.1R8.2 より前が対象とされています。

何をすればいい

Pulse Secure は、Pulse Connect Secure と Pulse Policy Secure を 9.1R8.2 に更新するよう案内しています。9.1R8.2 以降に更新されているか、公式の案内を確認してください。これはサーバー側だけの修正で、Pulse Desktop Client の更新は要らないとされています。回避策として、管理用の Web 画面を内部用または管理用のネットワークの窓口だけに限り、インターネットからの接続を止めること、管理者のログインに多要素認証を使うことが示されています。

やることチェックリスト

  • Pulse Connect Secure を 9.1R8.2 以降に更新する
  • 管理画面へのインターネットからの接続を止める
  • 管理者のログインに多要素認証を設定する

用語メモ

VPN 用語集で見る
インターネットを通して、離れた場所から社内のネットワークに安全につなぐ仕組みです。
テンプレート
画面などを作るためのひな形で、決まった場所に文字などを差し込んで使います。
多要素認証 用語集で見る
パスワードに加えて、スマホに届く番号など別の確認を組み合わせてログインする方法です。

次に読む

同じ製品・メーカーの脆弱性Ivanti Pulse Connect Secure（CVE-2021-22900）7.2 重要CVSS v3.1Pulse Connect Secure の管理画面で、ファイルを書き込まれる弱点同じ製品・メーカーの脆弱性Ivanti Pulse Connect Secure（CVE-2021-22899）8.8 重要CVSS v3.1Pulse Connect Secure で、ログイン済みの利用者に命令を実行される弱点基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Ivanti Pulse Connect Secure Code Execution Vulnerability

概要

Ivanti Pulse Connect Secure contains an unspecified vulnerability in the admin web interface that could allow an authenticated attacker to upload a custom template to perform code execution.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る