• ひとことでPulse Connect Secure で、ログイン済みの利用者に命令を実行される弱点
  • 深刻度8.8 重要CVSS v3.1
  • まずやることIntegrity Checker Toolで被害を調べる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2021-22899
製品Ivanti Pulse Connect Secure
深刻度（CVSS）8.8 重要CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2021-11-03
米国政府機関の対応期限2022-05-03
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-77（コマンドインジェクション）

何が起きた

Ivanti の Pulse Connect Secure に、外から送られた値をそのまま命令として実行してしまう弱点（コマンドインジェクション）が見つかり、実際の攻撃に使われていることが確認されています。CVE の記録によると、ログイン済みの攻撃者が、Windows File Resource Profiles という機能を通じて、離れた場所から任意のプログラムを実行できます。NVD の評価では、ネットワーク経由で、一般利用者程度の権限があれば悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者がログインした状態で接続する → 2. Windows Resource Profiles を通じて値を送る → 3. 送った値が命令として実行される1攻撃者がログインした状態で接続する2Windows Resource Profiles を通じて値を送る3送った値が命令として実行される攻撃の流れ: 1. 攻撃者がログインした状態で接続する → 2. Windows Resource Profiles を通じて値を送る → 3. 送った値が命令として実行される1攻撃者がログインした状態で接続する2Windows Resource Profiles を通じて値を送る3送った値が命令として実行される攻撃の流れ: 1. 攻撃者がログインした状態で接続する → 2. Windows Resource Profiles を通じて値を送る → 3. 送った値が命令として実行される1攻撃者がログインした状態で接続する2Windows Resource Profiles を通じて値を送る3送った値が命令として実行される

誰が影響を受ける

Pulse Connect Secure を使っている組織が対象です。CVE の記録によると、9.1R11.4 より前のバージョンが影響を受けます。

何をすればいい

Pulse Secure の勧告 SA44784 に従い、Pulse Connect Secure を 9.1R11.4 以降に更新してください。Pulse Secure は、更新の前に最新の Integrity Checker Utility を実行して、機器が被害を受けていないか確かめるよう求めています。すぐに更新できない場合は、Pulse Secure が配る回避策（Workaround-2104.xml）を読み込むと緩和できます。この回避策は Windows File Share Browser と Pulse Secure Collaboration の機能を止めます。9.1R11.4 を当てたら、回避策を外してください。

やることチェックリスト

  • Integrity Checker Toolで被害を調べる
  • Pulse Connect Secure を 9.1R11.4 以降に更新する
  • すぐ更新できなければ回避策を読み込む

用語メモ

コマンドインジェクション 用語集で見る
入力の中に命令を紛れ込ませて、サーバーに実行させてしまう攻撃です。
Windows Resource Profiles
Pulse Connect Secure の機能の1つで、Windows のファイルなどの資源へのアクセスを設定するものです。CISA は Windows File Resource Profiles と書いています。

次に読む

同じ製品・メーカーの脆弱性Ivanti Pulse Connect Secure（CVE-2021-22900）7.2 重要CVSS v3.1Pulse Connect Secure の管理画面で、ファイルを書き込まれる弱点同じ製品・メーカーの脆弱性Ivanti Pulse Connect Secure（CVE-2021-22894）8.8 重要CVSS v3.1Pulse Connect Secure の会議室の機能で、ログイン済みの人が root で命令を動かせる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Ivanti Pulse Connect Secure Command Injection Vulnerability

概要

Ivanti Pulse Connect Secure contains a command injection vulnerability that allows remote authenticated users to perform remote code execution via Windows File Resource Profiles.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る