Neue Sicherheitslücke mit hohem Schweregrad in Pulse Connect Secure VPN gemeldet

Cyber Security News

Ivanti, die Firma hinter den Pulse Secure VPN-Appliances, hat einen Sicherheitshinweis für eine schwerwiegende Sicherheitslücke veröffentlicht, die es einem authentifizierten Angreifer ermöglichen könnte, beliebigen Code mit erhöhten Rechten auszuführen.

“Ein Pufferüberlauf in Windows File Resource Profiles in Version 9.X erlaubt es einem entfernten authentifizierten Benutzer mit Rechten zum Durchsuchen von SMB-Freigaben, beliebigen Code als Root-Benutzer auszuführen”, so das Unternehmen in einem am 14. Mai veröffentlichten Alert. “Ab der Version 9.1R3 ist diese Berechtigung standardmäßig nicht aktiviert.”

Die Schwachstelle, identifiziert als CVE-2021-22908, hat einen CVSS-Score von 8,5 von maximal 10 und betrifft die Pulse Connect Secure-Versionen 9.0Rx und 9.1Rx. In einem Bericht, der die Schwachstelle detailliert beschreibt, erklärt das CERT Coordination Center, dass das Problem auf die Fähigkeit des Gateways zurückzuführen ist, sich über eine Reihe von CGI-Endpunkten mit Windows-Dateifreigaben zu verbinden, die für die Durchführung des Angriffs genutzt werden können.

[Blocked Image: https://thehackernews.com/images/-va9G8j8L8t0/YHc_zcfiuFI/AAAAAAAA3ws/2KY886mKSJkGD0dDrseOimw0dTJfitfmwCLcBGAsYHQ/s300-e100/thn-300-6.png]

“Bei der Angabe eines langen Servernamens für einige SMB-Operationen kann die Anwendung ‘smbclt’ aufgrund eines Stack-Pufferüberlaufs oder eines Heap-Pufferüberlaufs abstürzen, je nachdem, wie lang der Servername angegeben wird”, führt CERT/CC in einer am Montag veröffentlichten Schwachstelle aus und fügt hinzu, dass der verwundbare Code durch das CGI-Skript ‘/dana/fb/smb/wnf.cgi’ ausgelöst werden konnte.

Pulse Secure-Kunden wird empfohlen, auf PCS Server Version 9.1R.11.5 zu aktualisieren, sobald diese verfügbar ist. In der Zwischenzeit hat Ivanti eine Workaround-Datei (‘Workaround-2105.xml’) veröffentlicht, die importiert werden kann, um die Windows File Share Browser-Funktion zu deaktivieren, indem die anfälligen URL-Endpunkte zu einer Blockliste hinzugefügt werden, und so die notwendigen Mitigations zum Schutz vor dieser Sicherheitslücke zu aktivieren.

Es ist zu beachten, dass Benutzer, die PCS-Versionen 9.1R11.3 oder niedriger verwenden, eine andere Datei mit dem Namen “Workaround-2104.xml” importieren müssen, so dass das PCS-System 9.1R11.4 verwenden muss, bevor die Schutzmaßnahmen in “Workaround-2105.xml” angewendet werden können.

[Blocked Image: https://thehackernews.com/images/-2uTEZxdSTZw/YKypBTo6Q-I/AAAAAAAACoE/B0oJ9iYqOKkxyiyr2rn0S1KzYo5qu3QvgCLcBGAsYHQ/s728-e1000/pulse.jpg]

Während Ivanti empfohlen hat, den Windows File Browser auf der Admin UI zu deaktivieren, indem die Option ‘Files, Window [sic]’ für bestimmte Benutzerrollen zu deaktivieren, stellte CERT/CC bei seinen Tests fest, dass diese Schritte nicht ausreichten, um sich vor dem Fehler zu schützen.

“Die verwundbaren CGI-Endpunkte sind immer noch auf eine Weise erreichbar, die die Anwendung ‘smbclt’ zum Absturz bringt, unabhängig davon, ob die Benutzerrolle ‘Files, Windows’ aktiviert ist oder nicht”, stellte es fest.

“Ein Angreifer bräuchte eine gültige DSID und einen ‘xsauth’-Wert von einem authentifizierten Benutzer, um erfolgreich den verwundbaren Code auf einem PCS-Server zu erreichen, der eine offene Windows-Dateizugriffsrichtlinie hat.”

Die Offenlegung der neuen Schwachstelle kommt Wochen nachdem das in Utah ansässige IT-Softwareunternehmen mehrere kritische Sicherheitslücken in Pulse Connect Secure-Produkten gepatcht hat, darunter CVE-2021-22893, CVE-2021-22894, CVE-2021-22899 und CVE-2021-22900, von denen die erste von mindestens zwei verschiedenen Bedrohungsakteuren aktiv in freier Wildbahn ausgenutzt wurde.

Fanden Sie diesen Artikel interessant? Folgen Sie THN auf Facebook, Twitter und LinkedIn, um weitere exklusive Inhalte zu lesen, die wir veröffentlichen.

Einige Teile dieses Artikels stammen aus:
thehackernews.com