Suivi KEV › Ivanti

CVE-2019-11510 Ivanti Pulse Connect Secure : vulnérabilité de lecture de fichier arbitraire

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 3 novembre 2021.

Produit : Ivanti Pulse Connect Secure
Ajoutée au catalogue : 3 novembre 2021
Échéance CISA : 3 mai 2022
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-22
Gravité : CVSS 10,0 (critique)
Probabilité d’exploitation (EPSS) : > 99,9 %
Technologie : Ivanti

Ivanti Pulse Connect Secure contient une vulnérabilité de lecture de fichier arbitraire qui permet à un attaquant distant non authentifié ayant un accès réseau via HTTPS d'envoyer une URI spécialement élaborée.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

Score CVSS 3.1 : 10,0 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Exploitable à distance, par le réseau, sans compte, sans action de la victime.
Probabilité d’exploitation dans les 30 jours (EPSS) : > 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
Code d’exploitation public : signalé par la NVD.

Versions concernées

connect secure : 37 versions, de 8.2-r1.0 à 9.0-r3.3

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

Limitation inappropriée d'un chemin d'accès à un répertoire restreint (CWE-22) : Le produit utilise une entrée externe pour construire un chemin d'accès destiné à identifier un fichier ou un répertoire situé sous un répertoire parent restreint, mais le produit ne neutralise pas correctement les éléments spéciaux dans le chemin d'accès qui pourraient faire en sorte que celui-ci se résolve à un emplacement en dehors du répertoire restreint.

Chronologie

8 mai 2019 — Publication de la CVE
3 novembre 2021 — Exploitation confirmée : ajout au catalogue KEV de la CISA
3 mai 2022 — Échéance de correction pour les agences fédérales américaines

Références

Avis de l’éditeur : kb.pulsesecure.net
Avis de l’éditeur : kb.pulsesecure.net
Analyse : badpackets.net
Analyse : devco.re
Analyse : i.blackhat.com
Analyse : psirt.global.sonicwall.com

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Ivanti Pulse Connect Secure Arbitrary File Read Vulnerability

Ivanti Pulse Connect Secure contains an arbitrary file read vulnerability that allows an unauthenticated remote attacker with network access via HTTPS to send a specially crafted URI.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de Ivanti Pulse Connect Secure

← Toutes les failles Ivanti · Suivi KEV