Trusted Design

解説:

CVE-2019-11539について、以下の観点から解説します。

1. 脆弱性の概要

Ivanti (旧 Pulse Secure) のPulse Connect SecureおよびPulse Policy Secureの管理用Webインターフェースにおいて、認証された攻撃者がコマンドを注入し、実行できる脆弱性です。この脆弱性は、OSコマンドインジェクション（CWE-78）に分類されます。

1.1 影響

この脆弱性が悪用されると、攻撃者は影響を受けるシステム上で任意のコマンドを実行することが可能になります。これにより、以下の深刻な影響が生じる可能性があります。 * システムの完全な侵害 * 機密データへの不正アクセス * 重要情報の改ざんまたは削除 * サービスの停止 * ネットワーク内での横方向の移動の可能性 機密性、完全性、可用性の全てに高い影響を及ぼします。この脆弱性は、実際に活発に悪用されていることが確認されており、CISAのKnown Exploited Vulnerabilities (KEV) カタログにも含まれています。

1.2 深刻度

CVSSv3.0/3.1の基本スコアは7.2で、「High（高）」と評価されています。EPSS (Exploit Prediction Scoring System) の確率は93.90% / 0.97169と非常に高く、悪用される可能性が高いことを示しています。

2. 対象となる環境

2.1 影響を受ける製品バージョン

以下のIvanti (旧 Pulse Secure) 製品が影響を受けます。

• Pulse Connect Secure:
  • バージョン9.0RX (9.0R3.4より前)
  • バージョン8.3RX (8.3R7.1より前)
  • バージョン8.2RX (8.2R12.1より前)
  • バージョン8.1RX (8.1R15.1より前)
• Pulse Policy Secure:
  • バージョン9.0RX (9.0R3.2より前)
  • バージョン5.4RX (5.4R7.1より前)
  • バージョン5.3RX (5.3R12.1より前)
  • バージョン5.2RX (5.2R12.1より前)
  • バージョン5.1RX (5.1R15.1より前)

OSバージョンについては、製品のベースとなるアプライアンスのOSに依存するため、個別のOSバージョンではなく上記製品バージョンが影響の対象となります。

2.2 影響を受ける設定

この脆弱性は、製品の管理用Webインターフェースに存在します。脆弱性の悪用には、認証された管理者アカウントでのアクセスが必要です。

3. 影響を受けた時の兆候

• Pulse Connect Secureのユーザーログに、通常とは異なる認証挙動（ホスト名、リモートIPアドレス、クライアントのUser-Agentなど）が見られる。
• 盗まれた平文の認証情報を使用した認証試行や、盗まれた認証情報を使用したVPN接続の試行。
• SSH設定が不正に変更され、rootとしてログインが可能になっている場合。

4. 推奨対策

4.1 本対策

• パッチの適用: 影響を受けるすべてのシステムに利用可能なパッチを直ちに適用することが推奨されます。
  • Pulse Secure Connect: 9.0R3.4、8.3R7.1、8.2R12.1、8.1R15.1以降のバージョン
  • Pulse Policy Secure: 9.0R3.2、5.4R7.1、5.3R12.1、5.2R12.1、5.1R15.1以降のバージョン
• 詳細は、Pulse Secure Security Advisory SA44101を参照してください。

4.2 暫定回避策（緩和策）

即座にパッチを適用できない場合、以下の暫定的な回避策を検討してください。 * ネットワークセグメンテーションの実装: 攻撃が成功した場合の影響を限定するために、ネットワークセグメンテーションを導入する。 * IDS/IPSの活用: 不審なコマンドインジェクションの試行を監視するために、侵入検知システム/侵入防止システム（IDS/IPS）を使用する。 * 管理者アクセスへの多要素認証（MFA）の導入: 管理者アカウントへのアクセスに多要素認証を義務付ける。 * 管理用Webインターフェースへのアクセス制限: 管理用Webインターフェースへのアクセスを信頼できるネットワークからのみに限定し、可能な限りインターネットに公開しない。

その他に解説すべき観点

• 攻撃チェーンでの悪用: この脆弱性（CVE-2019-11539）は、多くの場合、認証されていない攻撃者が任意のファイルを読み取れる脆弱性（CVE-2019-11510）と組み合わせて悪用されます。CVE-2019-11510が悪用されて認証情報が取得された後、その認証情報を使用してCVE-2019-11539が悪用され、コマンド実行に繋がるという攻撃チェーンが知られています。
• ランサムウェア攻撃での利用: この脆弱性は、ランサムウェア攻撃を含むサイバー犯罪によっても悪用されています。

参照したサイト

• CVE-2019-11539 | High Vulnerability in Ivanti Pulse Connect Secure and Pulse Policy Secure
• CVE-2019-11539 - Exploits & Severity - Feedly
• CVE-2019-11539 - CVE Record
• Attacks Exploiting Vulnerabilities in Pulse Connect Secure - JPCERT/CC Eyes
• Web Attack: Pulse Secure VPN CVE-2019-11539 - Broadcom Inc.
• CVE-2019-11539 — 针对Pulse Secure Connect 认证后RCE 漏洞的利用工具 - Kitploit
• CVE-2019-11539: Improper Neutralization of Special Elements used in an OS Command | Rapid7 Vulnerability Database
• NVD-CVE-2019-11539 - NIST
• In Pulse Secure Pulse Connect Secure version 9.0RX before... · CVE-2019-11539 - GitHub
• 0xDezzy/CVE-2019-11539: Exploit for the Post-Auth RCE vulnerability in Pulse Secure Connect - GitHub
• Pulse Secure VPN Vulnerability Exploited to Deliver Ransomware - SecurityWeek
• CVE-2019-11539: Ivanti Pulse Connect Secure and Policy Secure Command Injection Vulnerability | Kitploit
• Pulse Secure SSL VPN远程代码执行漏洞利用与分析
• JVNVU#93621261: Pulse Secure VPN における複数の脆弱性
• 悪用された脆弱性上位をCISAが公表、テレワーク関連が顕著 | トレンドマイクロ (JP) - Trend Micro
• 2020年 ランサムウェア攻撃で悪用された脆弱性 TOP４
• 推特的Golden Pulse Secure SSL VPN远程命令执行攻击链条 - 白帽汇安全研究院