Avis du CERT-FR
Objet : [MaJ] Vulnérabilité dans Pulse Connect Secure
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire à distance
Systèmes affectés
- Pulse Connect Secure versions antérieures à 9.1R.11.5
Résumé
Une vulnérabilité a été découverte dans Pulse Connect Secure. Elle permet à un attaquant de provoquer une exécution de code arbitraire à distance.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Contournement provisoire
[mise à jour du 21/06/2021]
L'éditeur a publié la version 9.1R11.5 qui corrige la vulnérabilité.
[version initiale]
Note importante : la version corrective n'est pas encore disponible, le mode de contournement dépend de la version actuelle de l'équipement :
- les équipements en version 9.1R11.4 doivent appliquer le contournement proposé dans le bulletin de sécurité de l'éditeur SA44800 (utilisation du fichier Workaround-2015.xml)
- les équipements en versions 9.1R11.3 et antérieures doivent appliquer le contournement indiqué dans le bulletin de sécurité de l'éditeur SA44784 publié le 20 avril 2021 (utilisation du fichier Workaround-2014.xml) [1]
Documentation
-
Bulletin de sécurité Pulse Secure SA44800 du 14 mai 2021
https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44800/?kA23Z000000boUgSAI -
[1] alerte de sécurité CERT-FR CERTFR-2021-ALE-007
/alerte/CERTFR-2021-ALE-007/ -
Référence CVE CVE-2021-22908
https://www.cve.org/CVERecord?id=CVE-2021-22908
Gestion détaillée du document
| Date | Description |
|---|---|
| 17 mai 2021 | Version initiale |
| 21 juin 2021 | l'éditeur a publié le correctif, mise à jour de l'avis. |