VPN製品「Pulse Connect Secure」にアップデート - ゼロデイ脆弱性など修正

今回修正された「CVE-2021-22893」は、解放後のメモリを使用するいわゆる「Use After Free」の脆弱性。認証なしにリモートよりコードを実行されるおそれがある。共通脆弱性評価システム「CVSSv3.1」のベーススコアは、最高値である「10」と評価されている。

さらにバッファオーバーフローの脆弱性「CVE-2021-22894」やコマンドインジェクションの脆弱性「CVE-2021-22899」についてもアップデートで修正された。認証済みのユーザーによってコードが実行されるおそれがあり、CVSS基本値はいずれも「9.9」。これら3件は、重要度が「クリティカル（Critical）」とレーティングされている。

一方「CVE-2021-22900」は、管理者向けウェブインターフェイスに明らかとなった脆弱性で、悪意あるファイルのアップロードが可能となる。悪用には管理者権限を必要とし、CVSS基本値は「7.2」、重要度は「高（High）」と1段階低く評価されている。

従来の「CVE-2021-22893」にくわえて、「CVE-2021-22894」「CVE-2021-22899」についても、同社が提供する「XMLファイル」をインポートして「Windowsファイル共有ブラウザ」「パルスセキュアコラボレーション」を無効化する回避策が有効とされている。

ただし、同社は同回避策を適用している場合も、今回リリースした「Pulse Connect Secure 9.1R11.4」以降へ更新し、脆弱性を解消するよう推奨。特に「同9.1R9」については、過去に明らかとなった脆弱性の影響を受けるおそれもあると危険性を指摘しており、アップデートするよう強く求めている。

（Security NEXT - 2021/05/05 ）ツイート

VPN製品「Pulse Connect Secure」にアップデート - ゼロデイ脆弱性など修正

関連リンク

PR

関連記事