CVE-2021-22900とは？Ivanti Pulse Connect Secureの脆弱性をわかりやすく解説

ひとことでPulse Connect Secure の管理画面で、ファイルを書き込まれる弱点
深刻度7.2 重要CVSS v3.1
まずやることIntegrity Checker Toolで被害を調べる

基本情報（データから表示）

CVE番号	CVE-2021-22900
製品	Ivanti Pulse Connect Secure
深刻度（CVSS）	7.2 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2021-11-03
米国政府機関の対応期限	2022-05-03
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-94（コードインジェクション）

何が起きた

Ivanti の Pulse Connect Secure に、ファイルのアップロードを十分に制限していない弱点が見つかり、実際の攻撃に使われていることが確認されています。CVE の記録によると、ログイン済みの管理者が、管理用のウェブ画面から細工した圧縮ファイル（アーカイブ）をアップロードすると、ファイルを書き込めてしまいます。NVD の評価では、ネットワーク経由で悪用できますが、管理者などの高い権限が必要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Pulse Connect Secure を使っている組織が対象です。CVE の記録によると、9.1R11.4 より前のバージョンが影響を受けます。

何をすればいい

Pulse Secure の勧告 SA44784 に従い、Pulse Connect Secure を 9.1R11.4 以降に更新してください。Pulse Secure は、更新の前に最新の Integrity Checker Utility を実行して、機器が被害を受けていないか確かめるよう求めています。

やることチェックリスト

Integrity Checker Toolで被害を調べる
Pulse Connect Secure を 9.1R11.4 以降に更新する
更新後に 9.1R11.4 以降になったか確かめる

用語メモ

アーカイブ: 複数のファイルを1つにまとめた、zip などの圧縮ファイルのことです。
アップロード用語集で見る: 手元のファイルを、ネットワーク越しにサーバーへ送ることです。

次に読む

同じ製品・メーカーの脆弱性Ivanti Pulse Connect Secure（CVE-2021-22899）8.8 重要CVSS v3.1Pulse Connect Secure で、ログイン済みの利用者に命令を実行される弱点同じ製品・メーカーの脆弱性Ivanti Pulse Connect Secure（CVE-2021-22894）8.8 重要CVSS v3.1Pulse Connect Secure の会議室の機能で、ログイン済みの人が root で命令を動かせる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Ivanti Pulse Connect Secure Unrestricted File Upload Vulnerability

概要

Ivanti Pulse Connect Secure contains an unrestricted file upload vulnerability that allows an authenticated administrator to perform a file write via a maliciously crafted archive upload in the administrator web interface.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Ivanti Pulse Connect Secure の脆弱性（CVE-2021-22900）