VPN製品「Pulse Connect Secure」に複数脆弱性 - 悪用未確認、更新を強く推奨

Ivantiは、Pulse Secureブランドで展開するVPN製品「Pulse Connect Secure（PCS）」において複数の脆弱性を修正するセキュリティアップデートをリリースした。いずれも悪用は確認されていないという。

管理者によって、悪意あるファイルの書き込みが可能となる「CVE-2021-22937」や、コマンドインジェクションの脆弱性「CVE-2021-22935」など、あわせて6件の脆弱性が判明したもの。

共通脆弱性評価システム「CVSSv3.0」のベーススコアを見ると、6件において「CVE-2021-22937」「CVE-2021-22935」がもっとも高い値となっており、いずれも「9.1」とレーティングされている。

「クロスサイトスクリプティング（XSS）」の脆弱性「CVE-2021-22936」が「8.2」、「バッファオーバーフロー」の脆弱性「CVE-2021-22934」が「8.0」で続く。そのほか2件の脆弱性も含めて、いずれも「7.6」以上と評価されている。

同社では、アップデートとなる「同9.1R12」を8月2日にリリースし、これら脆弱性を修正した。

（Security NEXT - 2021/08/10 ）ツイート