Trusted Design

CVE-2019-11510 の詳細

CVEの情報

説明:
In Pulse Secure Pulse Connect Secure (PCS) 8.2 before 8.2R12.1, 8.3 before 8.3R7.1, and 9.0 before 9.0R3.4, an unauthenticated remote attacker can send a specially crafted URI to perform an arbitrary file reading vulnerability .

CVE更新日: 2019-05-08 17:29:00.630000

CVSSバージョン: 3.1

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999990000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2019-11510は、Pulse Secure Pulse Connect Secure (PCS) 製品に存在する認証されていないリモートの任意ファイル読み取りの脆弱性です。

1. 脆弱性の概要

Pulse Secure Pulse Connect Secure (PCS) の特定のバージョンにおいて、認証されていないリモートの攻撃者が、特別に細工されたURIとディレクトリトラバーサルを組み合わせたリクエストを送信することで、アプライアンス上の任意のファイルを読み取ることが可能な脆弱性です。この脆弱性は認証前に悪用可能です。

1.1 影響

この脆弱性が悪用されると、攻撃者はPulse Connect Secure上に保存されている、過去にログインしたユーザーのユーザー名とパスワードを平文でキャッシュしたファイルや、認証に用いられたセッション情報、プライベートキーなどの機微な情報を窃取する可能性があります。これらの認証情報を窃取した攻撃者は、正規ユーザーになりすましてSSL-VPNに接続し、内部ネットワークへ不正にアクセスできるようになります。これにより、情報漏えいや改ざん、さらにはランサムウェア（Sodinokibi/REvilなど）のインストールといった深刻なサイバー攻撃に繋がる可能性があります。

1.2 深刻度

  • CVSS v3.0 ベーススコア: 10.0 (Critical - 緊急)
  • CVSS v2.0 ベーススコア: 7.5 (High - 危険)

2. 対象となる環境

この脆弱性は、Pulse SecureのVPN製品であるPulse Connect Secure (PCS) に影響します。

2.1 影響を受けるOSバージョン

  • Pulse Connect Secure (PCS) 8.2R12.1 未満の 8.2系
  • Pulse Connect Secure (PCS) 8.3R7.1 未満の 8.3系
  • Pulse Connect Secure (PCS) 9.0R3.4 未満の 9.0系

加えて、以下のバージョンも影響を受けます。 * Pulse Connect Secure 8.1R1 から 8.1R15 * Pulse Policy Secure 9.0R1 から 9.0R3.3 * Pulse Policy Secure 5.4R1 から 5.4R7 * Pulse Policy Secure 5.3R1 から 5.3R12 * Pulse Policy Secure 5.2R1 から 5.2R12 * Pulse Policy Secure 5.1R1 から 5.1R15

※Pulse Connect Secure 9.1系、および8.1系以前のバージョンは本脆弱性の影響を受けません。

2.2 影響を受ける設定

本脆弱性は、HTTPS経由で送信された細工されたURIを処理する際に発生するパストラバーサルの脆弱性であり、認証を必要としないリモートからの攻撃が可能です。ユーザー認証にクライアント証明書を要求している場合でも、この脆弱性は悪用される可能性があります。

3. 影響を受けた時の兆候

CVE-2019-11510が悪用された実際の侵害事案では、以下のような兆候が確認されています。

  • 認証情報の窃取（VPNユーザーや管理者アカウントのパスワード情報など）
  • PsExecの使用、Windowsの資格情報を窃取するツールMimikatzの実行
  • Active Directoryのデータベースファイル（ntds.dit）の窃取
  • エンドポイントセキュリティツールの無効化
  • ランサムウェア（Sodinokibi/REvilなど）のインストール

また、脆弱性を持つホストを特定しようとするスキャン行為がインターネット上で広く観測されています。

4. 推奨対策

4.1 本対策

脆弱性の修正パッチが適用されたバージョンへアップグレードすることが唯一の根本的な対策です。

  • Pulse Connect Secure:
    • 8.2R12.1 以降
    • 8.3R7.1 以降
    • 9.0R3.4 以降
  • Pulse Policy Secure:
    • Pulse Secure Advisory SA44101 に記載されている修正済みバージョンへのアップグレード。

アップグレード実施後には、PCSOSへのログインに使用するすべてのエンドユーザーと管理者のパスワードを変更することを推奨します。

4.2 暫定回避策（緩和策）

CVE-2019-11510自体に対する直接的な回避策は、アップグレード以外に存在しないとされています。 しかし、脆弱性悪用による被害を軽減するための一般的な対策として、以下が推奨されます。

  • 多要素認証 (MFA) の導入: 認証情報が窃取された場合でも、不正ログインを防ぐために、ユーザーID・パスワードによる認証のみに依存せず、ワンタイムパスワードなどを加えた二要素認証を導入し、認証レベルを強化することが望ましいです。
  • 未使用のVPNサーバーの停止: 攻撃経路を減らすため、使用されていないVPNサーバーは停止することを推奨します。
  • 設定およびパッチ管理プログラムの見直し: 継続的な脆弱性対応のため、情報収集、資産管理、定期的な棚卸しを仕組み化し、属人化を防ぐことが重要です。
  • 侵害有無の確認: CISAが公開しているIoC（Indicators of Compromise）などを参照し、自社の環境に侵害の痕跡がないか確認することが呼びかけられています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る