PT-2021-4940 · Pulse · Pulse Connect Secure

Publicado 2021-05-03 · Atualizado 2024-02-27 · CVE-2021-22899

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Pulse Connect Secure anteriores à 9.1R11.4

Descrição

O problema está relacionado à validação insuficiente de entradas no componente Perfis de Recursos dos gateways VPN do Pulse Connect Secure para redes corporativas. Isso permite que um invasor remoto execute código arbitrário enviando uma solicitação especialmente criada. Existe uma vulnerabilidade de injeção de comando, permitindo que um invasor remoto autenticado execute código remotamente por meio do recurso Perfis de Recursos do Windows.

Recomendações

Para versões anteriores à 9.1R11.4, atualize para a versão 9.1R11.4 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao recurso Perfis de Recursos do Windows até que um patch seja aplicado.

Correção

RCE

OS Command Injection

Command Injection

Enumeração de Fraquezas

CWE-78

CWE-77

Identificadores relacionados

BDU:2021-05689

CVE-2021-22899

Produtos afetados

Pulse Connect Secure

Referências · 6

• https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44784/?kA23Z000000boUWSAY · Aviso do Fabricante
• https://cybersecurity-help.cz/vdb/SB2021050501 · Nota
• https://osv.dev/vulnerability/CVE-2021-22899 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2021-05689 · Nota de Segurança
• https://cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-22899 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-22899 · Nota de Segurança