最近の脆弱性 › CVE-2020-8260
Ivanti Pulse Connect Secure の危険なファイルのアップロードの脆弱性（CVE-2020-8260）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2020-8260 |
|---|---|
| 製品 | Ivanti Pulse Connect Secure |
| 深刻度（CVSS） | 7.2 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2021-11-03 |
| 米国政府機関の対応期限 | 2022-05-03 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-434 |
何が起きた
VPN 装置の Pulse Connect Secure の管理用の Web 画面に弱点があり、ログイン済みの攻撃者が、gzip 形式の圧縮ファイルの展開をきちんと制限しない処理を悪用して、任意のプログラムを動かせるおそれがあります。実際の悪用も確認されています。NVD の評価では、ネットワーク経由で、管理者などの高い権限を持つ攻撃者が悪用できるとされています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Pulse Secure の勧告では、Pulse Connect Secure 9.1Rx 以前と Pulse Policy Secure 9.1Rx 以前が対象で、9.1R9 で修正されています。NVD の説明でも、Pulse Connect Secure の 9.1R9 より前が対象とされています。
何をすればいい
Pulse Secure は、Pulse Connect Secure と Pulse Policy Secure を 9.1R9 に更新するよう案内しています。9.1R9 以降に更新されているか、公式の案内を確認してください。回避策として、管理用の Web 画面を内部用または管理用のネットワークの窓口だけに限り、インターネットからの接続を止めること、管理者のログインに多要素認証を使うことが示されています。
やることチェックリスト
- Pulse Connect Secure を 9.1R9 以降に更新する
- 管理画面へのインターネットからの接続を止める
- 管理者のログインに多要素認証を設定する
用語メモ
- VPN
- インターネットを通して、離れた場所から社内のネットワークに安全につなぐ仕組みです。
- gzip
- ファイルを小さくまとめるための圧縮形式の一つです。
- 多要素認証
- パスワードに加えて、スマホに届く番号など別の確認を組み合わせてログインする方法です。
元データ（英語・CISA KEV より）
Ivanti Pulse Connect Secure Code Execution Vulnerability
概要
Pulse Connect Secure contains an unspecified vulnerability that allows an authenticated attacker to perform code execution using uncontrolled gzip extraction.
推奨対応
Apply updates per vendor instructions.