CVE-2019-11510
Ivanti Pulse Connect Secure Arbitrary File Read Vulnerability
Beschreibung
CVE-2019-11510 ist eine kritische Schwachstelle zum beliebigen Lesen von Dateien in Ivanti Pulse Connect Secure, einer weit verbreiteten SSL-VPN-Lösung. Diese Path-Traversal-Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, über speziell gestaltete HTTPS-Anfragen beliebige Dateien vom Server zu lesen, einschließlich sensibler Konfigurationsdateien und Zugangsdaten. CISA hat diese Schwachstelle in ihren Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen und die aktive Ausnutzung bestätigt, zudem wurde sie mit Ransomware-Kampagnen in Verbindung gebracht. Mit einem EPSS-Score von 94,46 % (99,99. Perzentil) stellt CVE-2019-11510 eine der am aktivsten ausgenutzten Schwachstellen in der Pulse Connect Secure-Produktlinie dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ivanti | connect secure | 8.2; 8.3; 9.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/154176/Pulse-Secure-SSL-VPN-8.1R15.1-8.2-8.3-9.0-Arbitrary-File-Disclosure.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/154231/Pulse-Secure-SSL-VPN-File-Disclosure-NSE.html(Third Party Advisory, VDB Entry)
- http://www.securityfocus.com/bid/108073(Broken Link, Third Party Advisory, VDB Entry)
- https://badpackets.net/over-14500-pulse-secure-vpn-endpoints-vulnerable-to-cve-2019-11510/(Broken Link, Third Party Advisory)
- https://devco.re/blog/2019/09/02/attacking-ssl-vpn-part-3-the-golden-Pulse-Secure-ssl-vpn-rce-chain-with-Twitter-as-case-study/(Exploit, Third Party Advisory)
- https://i.blackhat.com/USA-19/Wednesday/us-19-Tsai-Infiltrating-Corporate-Intranet-Like-NSA.pdf(Third Party Advisory)
- https://kb.pulsesecure.net/?atype=sa(Not Applicable, Vendor Advisory)
- https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44101/(Broken Link, Patch, Vendor Advisory)
- https://lists.apache.org/thread.html/ff5fa1837b6bd1b24d18a42faa75e165a4573dbe2d434910c15fd08a%40%3Cuser.guacamole.apache.org%3E(Mailing List)
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2019-0010(Third Party Advisory)
- https://www.kb.cert.org/vuls/id/927237(Third Party Advisory, US Government Resource)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-11510(US Government Resource)
Schwachstellentyp
CWE-22: Unzureichende Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis ('Path Traversal')
Path-Traversal-Schwachstellen treten auf, wenn Software externe Eingaben zur Konstruktion eines Pfadnamens verwendet, der eine Datei oder ein Verzeichnis innerhalb eines eingeschränkten übergeordneten Verzeichnisses identifizieren soll, aber spezielle Elemente, die zu einem Speicherort außerhalb dieses Verzeichnisses führen können, nicht ordnungsgemäß neutralisiert. Im Fall von CVE-2019-11510 validiert die Pulse Connect Secure-Weboberfläche URI-Pfade nicht ausreichend, wodurch ein Angreifer Verzeichnisgrenzen überschreiten und systemweit Dateien lesen kann.
Mehr erfahren: CWE-22 — Unzureichende Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis
Auswirkungsanalyse
CVE-2019-11510 erreicht den maximalen CVSS 3.1-Score von 10,0 (KRITISCH), was die höchstmögliche Bedrohungsstufe widerspiegelt. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion, wodurch sie für jeden Angreifer mit Netzwerkzugang trivial ausnutzbar ist. Der Scope ist als „Changed" eingestuft, was bedeutet, dass die Ausnutzung Ressourcen über die verwundbare VPN-Appliance hinaus betreffen kann, da gestohlene Zugangsdaten für den Zugriff auf interne Netzwerke verwendet werden können. Vertraulichkeit (Hoch): Angreifer können beliebige Dateien lesen, einschließlich zwischengespeicherter Klartextzugangsdaten, Sitzungstoken und VPN-Konfigurationsdaten. Integrität (Hoch): Gestohlene Zugangsdaten ermöglichen unbefugten Zugriff zur Änderung von Systemen und Daten hinter dem VPN. Verfügbarkeit (Hoch): Eine vollständige Systemkompromittierung ist durch Zugangsdatendiebstahl und Lateral Movement möglich. Der EPSS-Score von 94,46 % zeigt nahezu sichere Ausnutzungsaktivität an, und CISA hat bestätigt, dass diese Schwachstelle aktiv in Ransomware-Operationen eingesetzt wird.
Exploit-Reifegrad
CVE-2019-11510 ist eine der am intensivsten ausgenutzten VPN-Schwachstellen der letzten Jahre. CISA hat die aktive Ausnutzung durch die Aufnahme in den KEV-Katalog bestätigt, und die Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt. Öffentlicher Exploit-Code ist verfügbar über Packet Storm Security, und weitere Exploit-Forschung wurde von DEVCORE veröffentlicht. Der EPSS-Score von 94,46 % (99,99. Perzentil) zeigt nahezu sichere Ausnutzungsaktivität an und platziert diese unter den am meisten ausgenutzten CVEs überhaupt. Diese Schwachstelle wird häufig mit CVE-2019-11539, einer Command-Injection-Schwachstelle in der Admin-Oberfläche, verkettet, um vollständige Remote-Code-Ausführung auf der VPN-Appliance zu erreichen.
Behebung
- Herstellerpatches sofort anwenden gemäß CISA KEV: Updates gemäß Herstelleranweisungen durchführen. Beachten Sie die CISA Emergency Directive ED 21-03 für zusätzliche Hinweise zu Pulse Connect Secure-Schwachstellen.
- Alle Ivanti Pulse Connect Secure-Instanzen auf Version 9.0R3.4 oder höher (für den 9.0-Branch), 8.3R7.1 oder höher (für den 8.3-Branch) oder 8.2R12.1 oder höher (für den 8.2-Branch) aktualisieren.
- Nach dem Patchen sofort alle Benutzer- und Administratorzugangsdaten zurücksetzen, alle VPN-Sitzungstoken und -Zertifikate widerrufen und neu ausstellen, da diese durch das beliebige Lesen von Dateien vor dem Patchen kompromittiert worden sein könnten.
- Netzwerkbasierte Zugriffskontrollen implementieren, um den Zugriff auf die Verwaltungsschnittstelle auf vertrauenswürdige IP-Adressen zu beschränken, und Intrusion-Detection-Regeln zur Erkennung von Path-Traversal-Mustern in Pulse Secure-URIs bereitstellen.
- Eine gründliche forensische Untersuchung aller Pulse Connect Secure-Appliances durchführen, Zugriffsprotokolle auf Ausnutzungsindikatoren wie Anfragen mit Directory-Traversal-Sequenzen prüfen und unbefugten Zugriff auf interne Systeme mit gestohlenen Zugangsdaten untersuchen.
Technische Details
CVE-2019-11510 ist eine Path-Traversal-Schwachstelle im Pulse Connect Secure-Webserver, die die Versionen 8.2 vor 8.2R12.1, 8.3 vor 8.3R7.1 und 9.0 vor 9.0R3.4 betrifft. Die Schwachstelle besteht in der Verarbeitung von URI-Pfaden, wobei speziell gestaltete Anfragen die Authentifizierungsprüfung und Verzeichnisbeschränkungen umgehen und so unauthentifizierten Zugriff auf beliebige Dateien auf der Appliance ermöglichen. Der CVSS-Vektorstring CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H spiegelt die maximale Ausnutzbarkeit wider: netzwerkzugänglich, geringe Komplexität, keine Privilegien oder Benutzerinteraktion erforderlich, mit geändertem Scope, was eine Auswirkung über die verwundbare Komponente hinaus anzeigt. Angreifer zielen typischerweise auf Dateien wie /etc/passwd, Sitzungsdatenbankdateien und zwischengespeicherte Klartextzugangsdaten, die auf der Appliance gespeichert sind, um gültige VPN-Zugangsdaten und Sitzungscookies für unbefugten Zugriff auf das geschützte Netzwerk zu erlangen.
Häufig gestellte Fragen
Wird CVE-2019-11510 aktiv ausgenutzt?
Ja. CVE-2019-11510 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen gelistet, was eine weitverbreitete aktive Ausnutzung bestätigt. CISA hat zusätzlich bestätigt, dass diese Schwachstelle in Ransomware-Kampagnen eingesetzt wird. Der EPSS-Score von 94,46 % (99,99. Perzentil) zeigt nahezu sichere Ausnutzungsaktivität an.
Welche Produkte sind von CVE-2019-11510 betroffen?
CVE-2019-11510 betrifft Ivanti (ehemals Pulse Secure) Pulse Connect Secure in den Versionen 8.2 vor 8.2R12.1, 8.3 vor 8.3R7.1 und 9.0 vor 9.0R3.4. Alle Organisationen, die diese VPN-Appliance-Versionen verwenden, sind durch Zugangsdatendiebstahl und Netzwerkkompromittierung gefährdet.
Wie behebe ich CVE-2019-11510?
Updates gemäß Herstelleranweisungen anwenden, um auf gepatchte Versionen (9.0R3.4, 8.3R7.1 oder 8.2R12.1 und höher) zu aktualisieren. Nach dem Patchen alle Benutzer- und Admin-Passwörter zurücksetzen und alle aktiven Sitzungen widerrufen, da Zugangsdaten vor dem Patchen gestohlen worden sein könnten.
Wie schwerwiegend ist CVE-2019-11510?
CVE-2019-11510 hat den maximalen CVSS 3.1-Score von 10,0 (KRITISCH) und einen EPSS-Score im 99,99. Perzentil. Dies ist eine kritische Schwachstelle mit bestätigter Ransomware-Nutzung, die sofortige Behebung erfordert.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.