Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

VPN製品「Pulse Connect Secure」にアップデート - ゼロデイ脆弱性など修正

Ivantiは、同社VPN製品「Pulse Connect Secure(PCS)」の脆弱性を解消するセキュリティアップデートを定例外でリリースした。アップデートが呼びかけられている。

同社のセキュリティソリューションを扱う事業部門であるPulse Securityが、複数の深刻な脆弱性を修正するアップデート「Pulse Connect Secure 9.1R11.4」をリリースしたもの。「同9.1Rx」「同9.0Rx」が影響を受ける。

同社では、4月に脆弱性や回避策を公開し、侵害状況を確認するチェックツールの活用を呼びかけるとともに、5月上旬を目途にアップデートの準備を進めていた。今回の更新では、悪用の報告があった「CVE-2021-22893」にくわえて、「CVE-2021-22894」「CVE-2021-22899」「CVE-2021-22900」のあわせて4件を修正している。

「CVE-2021-22893」については、ゼロデイ攻撃が確認されており、深刻な影響を及ぼす可能性があるとして、米国政府では緊急指令を発出。連邦政府機関に回避策の適用や侵害を受けていないか、継続的に確認するよう対策の徹底を要請していた。

今回のアップデートにより脆弱性そのものは修正されるが、修正や回避策の適用以前に攻撃を受けていた場合はすでに侵害されている可能性もあり、被害状況によってはさらなる対応も必要となる。同社は、同製品のファイルシステムにおける整合性を調べることができる「Pulse Connect Secure Integrity Tool」を引き続き提供している。

(Security NEXT - 2021/05/05 ) このエントリーをはてなブックマークに追加

PR

関連記事

続くVPN機器への攻撃 - 「修正済み」のつもりが無防備だったケースも
FBI、「FortiOS」脆弱性について再度注意喚起 - 5月以降も被害が
「Pulse Connect Secure」に未修正の脆弱性 - 更新準備中、回避策実施を
「Pulse Connect Secure」のゼロデイ攻撃に中国支援組織が関与か - FireEye指摘
「Pulse Connect Secure」脆弱性で国内法人もアナウンス
ランサムウェア「Cring」、脆弱VPN機器を標的 - 制御システムが停止する被害も
VPN製品「Pulse Connect Secure」にゼロデイ攻撃 - アップデートは5月上旬
米政府、「Pulse Connect Secure」のゼロデイ脆弱性対応で緊急指令
米政府、サイバー攻撃など理由にロシアへ制裁 - SolarWinds侵害も正式に認定
一部シスコ製小規模向けVPNルータに深刻なRCE脆弱性