CVE-2019-11539
Ivanti Pulse Connect Secure and Policy Secure Command Injection Vulnerability
Beschreibung
CVE-2019-11539 ist eine hochgradige Command-Injection-Schwachstelle in Ivanti Pulse Connect Secure und Pulse Policy Secure. Die Admin-Weboberfläche dieser SSL-VPN-Produkte ermöglicht es einem authentifizierten Angreifer, beliebige Betriebssystembefehle einzuschleusen und auszuführen. CISA hat diese Schwachstelle in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen und die aktive Ausnutzung bestätigt, zudem wurde sie mit Ransomware-Kampagnen in Verbindung gebracht. Mit einem EPSS-Score von 93,57 % (99,83. Perzentil) gehört CVE-2019-11539 zu den am stärksten angegriffenen Pulse Secure-Schwachstellen und wird häufig mit CVE-2019-11510 für unauthentifizierte Remote-Code-Ausführung verkettet.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ivanti | connect secure | 8.1; 8.2; 8.3; 9.0 |
| ivanti | policy secure | 9.0 |
| pulsesecure | pulse policy secure | 5.1r1.0; 5.1r1.1; 5.1r2.0; 5.1r2.1; 5.1r3.0; 5.1r3.2; 5.1r4.0; 5.1r5.0; 5.1r6.0; 5.1r7.0; 5.1r8.0; 5.1r9.0; 5.1r9.1; 5.1r10.0; 5.1r11.0; 5.1r11.1; 5.1r12.0; 5.1r12.1; 5.1r13.0; 5.1r14.0; 5.2r1.0; 5.2r2.0; 5.2r3.0; 5.2r3.2; 5.2r4.0; 5.2r5.0; 5.2r6.0; 5.2r7.0; 5.2r7.1; 5.2r8.0; 5.2r9.0; 5.2r9.1; 5.2r10.0; 5.2r11.0; 5.2rx; 5.3r1.0; 5.3r1.1; 5.3r2.0; 5.3r3.0; 5.3r3.1; 5.3r4.0; 5.3r4.1; 5.3r5.0; 5.3r5.1; 5.3r5.2; 5.3r6.0; 5.3r7.0; 5.3r8.0; 5.3r8.1; 5.3r8.2; 5.3r9.0; 5.3r10.; 5.3r11.0; 5.3r12.0; 5.3rx; 5.4r1; 5.4r2; 5.4r2.1; 5.4r3; 5.4r4; 5.4r5; 5.4r5.2; 5.4r6; 5.4r6.1; 5.4r7; 5.4rx |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS:3.0/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/154376/Pulse-Secure-8.1R15.1-8.2-8.3-9.0-SSL-VPN-Remote-Code-Execution.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/155277/Pulse-Secure-VPN-Arbitrary-Command-Execution.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/162092/Pulse-Secure-VPN-Arbitrary-Command-Execution.html(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securityfocus.com/bid/108073(Broken Link, Third Party Advisory, VDB Entry)
- https://devco.re/blog/2019/09/02/attacking-ssl-vpn-part-3-the-golden-Pulse-Secure-ssl-vpn-rce-chain-with-Twitter-as-case-study/(Exploit, Third Party Advisory)
- https://i.blackhat.com/USA-19/Wednesday/us-19-Tsai-Infiltrating-Corporate-Intranet-Like-NSA.pdf(Exploit, Third Party Advisory)
- https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44101(Third Party Advisory, Vendor Advisory)
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2019-0010(Third Party Advisory)
- https://www.kb.cert.org/vuls/id/927237(Third Party Advisory, US Government Resource)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-11539(US Government Resource)
Schwachstellentyp
CWE-78: Unzureichende Neutralisierung spezieller Elemente in OS-Befehlen ('OS Command Injection')
OS-Command-Injection tritt auf, wenn Software OS-Befehle unter Verwendung von extern beeinflussten Eingaben konstruiert, ohne spezielle Elemente ordnungsgemäß zu neutralisieren, die den beabsichtigten Befehl ändern könnten. Bei CVE-2019-11539 versäumt es die Admin-Weboberfläche von Pulse Connect Secure und Pulse Policy Secure, benutzerseitige Eingaben ordnungsgemäß zu bereinigen, wodurch ein authentifizierter Administrator Shell-Befehle einschleusen kann, die vom zugrunde liegenden Betriebssystem ausgeführt werden.
Mehr erfahren: CWE-78 — Unzureichende Neutralisierung spezieller Elemente in OS-Befehlen
Auswirkungsanalyse
CVE-2019-11539 hat einen CVSS 3.1-Score von 7,2 (HOCH), was eine erhebliche Bedrohung für Organisationen darstellt, die betroffene Pulse Secure-Produkte einsetzen. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität ausnutzbar, erfordert jedoch hohe Privilegien (Administratorzugang) und keine Benutzerinteraktion. Vertraulichkeit (Hoch): Erfolgreiche Command Injection ermöglicht es einem Angreifer, beliebige Dateien auf dem System zu lesen und sensible Daten einschließlich Konfigurationsdateien, Zugangsdaten und VPN-Sitzungsinformationen zu exfiltrieren. Integrität (Hoch): Beliebige Befehlsausführung ermöglicht die Änderung von Systemdateien, die Installation von Backdoors und die Manipulation von VPN-Konfigurationen. Verfügbarkeit (Hoch): Ein Angreifer kann VPN-Dienste stören, die Appliance zum Absturz bringen oder sie als Ausgangspunkt für weitere Angriffe auf das interne Netzwerk nutzen. Der EPSS-Score von 93,57 % zeigt nahezu sichere Ausnutzungsaktivität an, und CISA hat bestätigt, dass diese Schwachstelle in Ransomware-Operationen eingesetzt wird.
Exploit-Reifegrad
CVE-2019-11539 weist eine gut etablierte Exploit-Reife mit mehreren öffentlich verfügbaren Proof-of-Concept-Exploits auf. CISA hat die aktive Ausnutzung durch die Aufnahme in den KEV-Katalog bestätigt, und die Schwachstelle wird bekanntermaßen in Ransomware-Kampagnen eingesetzt. Öffentlicher Exploit-Code ist über Packet Storm Security verfügbar, und weitere Exploit-Forschung wurde von DEVCORE veröffentlicht. Der EPSS-Score von 93,57 % (99,83. Perzentil) zeigt nahezu sichere Ausnutzung an. Diese Schwachstelle ist ein Schlüsselelement in Angriffsketten: In Kombination mit CVE-2019-11510 (unauthentifiziertes beliebiges Dateilesen) extrahieren Angreifer zunächst Admin-Zugangsdaten und nutzen dann CVE-2019-11539, um beliebige Befehle auszuführen und vollständige Remote-Code-Ausführung ohne vorherige Authentifizierung zu erreichen.
Behebung
- Herstellerpatches sofort anwenden gemäß CISA KEV: Updates gemäß Herstelleranweisungen durchführen. Beachten Sie die CISA Emergency Directive ED 21-03 für zusätzliche Hinweise zur Behebung von Pulse Connect Secure-Schwachstellen.
- Ivanti Pulse Connect Secure auf Version 9.0R3.4 oder höher, 8.3R7.1 oder höher, 8.2R12.1 oder höher oder 8.1R15.1 oder höher aktualisieren. Für Pulse Policy Secure auf Version 9.0R3.2 oder höher, 5.4R7.1 oder höher, 5.3R12.1 oder höher, 5.2R12.1 oder höher oder 5.1R15.1 oder höher aktualisieren.
- Den administrativen Zugang zur Web-Verwaltungsschnittstelle auf vertrauenswürdige IP-Adressen beschränken und Firewall-Regeln sowie Netzwerksegmentierung implementieren, um die Exposition der Admin-Oberfläche auf das notwendige Minimum zu beschränken.
- Robuste Eingabevalidierung und Web Application Firewall (WAF)-Regeln implementieren, um OS-Command-Injection-Muster zu erkennen und zu blockieren, und eine umfassende Protokollierung aller administrativen Aktionen aktivieren.
- Eine gründliche Sicherheitsüberprüfung aller Pulse Secure-Appliances durchführen, Admin-Zugriffsprotokolle auf verdächtige Befehlsausführungsmuster prüfen und sicherstellen, dass keine persistenten Backdoors installiert wurden.
Technische Details
CVE-2019-11539 ist eine OS-Command-Injection-Schwachstelle in der Admin-Weboberfläche von Pulse Connect Secure Versionen 9.0RX vor 9.0R3.4, 8.3RX vor 8.3R7.1, 8.2RX vor 8.2R12.1 und 8.1RX vor 8.1R15.1 sowie Pulse Policy Secure Versionen 9.0RX vor 9.0R3.2, 5.4RX vor 5.4R7.1, 5.3RX vor 5.3R12.1, 5.2RX vor 5.2R12.1 und 5.1RX vor 5.1R15.1. Die Schwachstelle besteht, weil benutzerseitige Eingaben über die Admin-Weboberfläche in OS-Befehle eingebunden werden, ohne Shell-Metazeichen ausreichend zu bereinigen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H zeigt netzwerkbasierte Ausnutzung mit geringer Komplexität, wobei jedoch hohe Privilegien erforderlich sind. Der Scope ist „Unchanged", die Auswirkung beschränkt sich auf die verwundbare Komponente selbst, aber eine vollständige Kompromittierung der VPN-Appliance gewährt effektiv Zugang zum gesamten dahinter liegenden Netzwerk.
Häufig gestellte Fragen
Wird CVE-2019-11539 aktiv ausgenutzt?
Ja. CVE-2019-11539 ist im CISA-Katalog der bekannten ausgenutzten Schwachstellen gelistet, was die aktive Ausnutzung bestätigt. CISA hat auch die Verwendung in Ransomware-Kampagnen bestätigt. Der EPSS-Score von 93,57 % (99,83. Perzentil) unterstreicht die nahezu sichere Ausnutzungsaktivität.
Welche Produkte sind von CVE-2019-11539 betroffen?
CVE-2019-11539 betrifft Ivanti Pulse Connect Secure Versionen 9.0RX vor 9.0R3.4, 8.3RX vor 8.3R7.1, 8.2RX vor 8.2R12.1 und 8.1RX vor 8.1R15.1. Ebenso betroffen ist Pulse Policy Secure in den Versionen 9.0RX vor 9.0R3.2, 5.4RX vor 5.4R7.1, 5.3RX vor 5.3R12.1, 5.2RX vor 5.2R12.1 und 5.1RX vor 5.1R15.1.
Wie behebe ich CVE-2019-11539?
Updates gemäß Herstelleranweisungen anwenden, um alle betroffenen Pulse Connect Secure- und Pulse Policy Secure-Instanzen auf die neuesten gepatchten Versionen zu aktualisieren. Zusätzlich den Zugriff auf die Admin-Weboberfläche auf vertrauenswürdige Netzwerke beschränken und alle Appliances auf Anzeichen einer früheren Kompromittierung überprüfen.
Wie schwerwiegend ist CVE-2019-11539?
CVE-2019-11539 hat einen CVSS 3.1-Score von 7,2 (HOCH) und einen EPSS-Score im 99,83. Perzentil. Obwohl administrative Privilegien erforderlich sind, wird die Schwachstelle häufig mit CVE-2019-11510 für unauthentifizierte Ausnutzung verkettet, was sie zu einer kritischen Behebungspriorität mit bestätigter Ransomware-Nutzung macht.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.