VPN製品「Pulse Connect Secure」にゼロデイ攻撃 - アップデートは5月上旬
Ivanti傘下のPulse Secureが提供するVPN製品「Pulse Connect Secure(PCS)」に未修正の深刻な脆弱性が存在し、ゼロデイ攻撃も確認されていることがわかった。アップデートは5月上旬となる見込みで、同社は回避策をアナウンスしている。
同製品に認証がバイパスされ、リモートより同製品上で任意のファイルが実行されるおそれがある脆弱性「CVE-2021-22893」が明らかとなったもの。共通脆弱性評価システム「CVSSv3.1」のベーススコアは、最高値である「10」とレーティングされている。
同社では、一部顧客において、悪用された形跡が確認されているとし、米サイバーセキュリティインフラストラクチャセキュリティ庁(CISA)やFireEye、Stroz Friedbergなどと調査を進めていると説明。アップデートの準備を進めているが、提供は5月上旬となる見込みだという。
同社は製品において「Windowsファイル共有ブラウザ」「Pulse Secure Collaboration」を無効化し、URLベースの攻撃の影響を軽減する回避策をアナウンスした。ただし、ライセンスサーバでは回避策の利用を推奨しておらず、ファイアウォールなどを利用したアクセス制御を求めている。
あわせて製品のインストール状況を調査し、脆弱性の影響について評価するツール「Pulse Security Integrity Checker Tool」を開発し、提供を開始した。
また4件の問題を発見しているが、多くは2019年と2020年にパッチを提供している「CVE-2019-11510」「CVE-2020-8243」「CVE-2020-8260」に関するものであると説明。これらアドバイザリについても確認し、必要に応じてパスワードの変更など対策を講じるよう求めている。
(Security NEXT - 2021/04/21 )
ツイート
関連リンク
- Pulse Secure:Pulse Connect Secure RCE Vulnerability (CVE-2021-22893)
- Pulse Secure:Pulse Connect Secure (PCS) Integrity Assurance
- Pulse Secure:Multiple vulnerabilities resolved in Pulse Connect Secure / Pulse Policy Secure 9.0RX
- Pulse Secure:Multiple vulnerabilities resolved in Pulse Connect Secure / Pulse Policy Secure 9.1R8.2
- Pulse Secure:Multiple Vulnerabilities Resolved in Pulse Connect Secure / Pulse Policy Secure / Pulse Secure Desktop Client 9.1R9
- Pulse Secure
PR
関連記事
「Apache Tomcat」のクラスタリング運用に注意 - 必要に応じて対策を
Zyxel製品の深刻な脆弱性、4月に修正済み - 報告者がサイレントパッチの危険性を指摘
2021年に悪用多かった脆弱性トップ15 - 首位は「Log4Shell」、VPNも引き続き標的に
MS、5月の月例パッチで脆弱性73件に対処 - ゼロデイ脆弱性を修正
富士通製のセキュリティ帯域制御製品に深刻な脆弱性
Zyxel製セキュリティ製品に深刻な脆弱性 - 機器の制御奪われるおそれ
SonicWall製ファイアウォールの「SonicOS」にRCE脆弱性
「Sophos Firewall」に深刻な脆弱性 - すでに悪用する攻撃も
NECプラットフォームズ製のワイヤレスVPNルータに脆弱性
「Mozilla VPN」に権限昇格のおそれ - アップデートが公開