Risque
- Exécution de code arbitraire à distance
Systèmes affectés
- Pulse Connect Secure versions antérieures à 9.1R.11.5
Résumé
Une vulnérabilité a été découverte dans Pulse Connect Secure. Elle permet à un attaquant de provoquer une exécution de code arbitraire à distance.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Contournement provisoire
[mise à jour du 21/06/2021]
L'éditeur a publié la version 9.1R11.5 qui corrige la vulnérabilité.
[version initiale]
Note importante : la version corrective n'est pas encore disponible, le mode de contournement dépend de la version actuelle de l'équipement :
- les équipements en version 9.1R11.4 doivent appliquer le contournement proposé dans le bulletin de sécurité de l'éditeur SA44800 (utilisation du fichier Workaround-2015.xml)
- les équipements en versions 9.1R11.3 et antérieures doivent appliquer le contournement indiqué dans le bulletin de sécurité de l'éditeur SA44784 publié le 20 avril 2021 (utilisation du fichier Workaround-2014.xml) [1]
Documentation
- Bulletin de sécurité Pulse Secure SA44800 du 14 mai 2021 https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44800/?kA23Z000000boUgSAI
- [1] alerte de sécurité CERT-FR CERTFR-2021-ALE-007 https://www.cert.ssi.gouv.fr/alerte/CERTFR-2021-ALE-007/
- Référence CVE CVE-2021-22908 https://www.cve.org/CVERecord?id=CVE-2021-22908
