CVE-2021-22894
Ivanti Pulse Connect Secure Collaboration Suite Buffer Overflow Vulnerability
Beschreibung
CVE-2021-22894 ist eine hochgradig kritische Buffer-Overflow-Schwachstelle in Ivanti Pulse Connect Secure. Der Fehler befindet sich in der Collaboration Suite Komponente von Pulse Connect Secure in Versionen vor 9.1R11.4, über die ein remote authentifizierter Angreifer beliebigen Code als Root-Benutzer ausführen kann, indem er einen manipulierten Meeting-Raum ausnutzt. Die CISA hat CVE-2021-22894 in ihren Katalog der bekannten ausgenutzten Schwachstellen aufgenommen und die aktive Ausnutzung im Rahmen der Emergency Directive 21-03 bestätigt. Mit einem EPSS-Score von 25,73 % (96,2. Perzentil) stellt diese Pulse Connect Secure Buffer-Overflow-Schwachstelle ein kritisches Risiko für Organisationen dar, die betroffene VPN-Appliances einsetzen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ivanti | connect secure | 9.0; 9.1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44784/?kA23Z000000boUWSAY(Broken Link, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-22894(US Government Resource)
Schwachstellentyp
CWE-94: Improper Control of Generation of Code ('Code Injection')
Code Injection tritt auf, wenn eine Anwendung nicht vertrauenswürdige Eingaben in dynamisch generierten Code einbindet. Bei CVE-2021-22894 verarbeitet die Meeting-Raum-Funktion der Collaboration Suite in Pulse Connect Secure Benutzerdaten ohne ausreichende Validierung, wodurch ein authentifizierter Angreifer Code einschleusen kann, der mit Root-Privilegien auf dem Server ausgeführt wird.
Mehr erfahren: CWE-94 — Improper Control of Generation of Code ('Code Injection')
CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer
Buffer-Overflow-Schwachstellen treten auf, wenn Software Operationen auf einem Speicherpuffer durchführt, ohne Lese- oder Schreibvorgänge ordnungsgemäß auf die vorgesehenen Grenzen zu beschränken. Bei CVE-2021-22894 setzt die Meeting-Raum-Verarbeitungslogik in Pulse Connect Secure keine ordnungsgemäßen Speichergrenzen durch, wodurch ein Angreifer angrenzenden Speicher überschreiben und die Programmausführung kontrollieren kann.
Mehr erfahren: CWE-119 — Improper Restriction of Operations within the Bounds of a Memory Buffer
Auswirkungsanalyse
CVE-2021-22894 hat einen CVSS-3.1-Score von 8,8 (HOCH), was auf eine schwerwiegende Sicherheitsbedrohung hinweist. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität ausnutzbar und erfordert nur niedrige Privilegien sowie keine Benutzerinteraktion. Eine erfolgreiche Ausnutzung ermöglicht dem Angreifer die Ausführung beliebigen Codes als Root-Benutzer auf der Pulse Connect Secure Appliance, was zur vollständigen Kompromittierung der Vertraulichkeit, Integrität und Verfügbarkeit führt. Ein Angreifer könnte die vollständige Kontrolle über das VPN-Gateway übernehmen, den gesamten VPN-Verkehr abfangen, Benutzeranmeldedaten stehlen, persistente Hintertüren installieren oder in das interne Unternehmensnetzwerk vordringen. Der EPSS-Score von 25,73 % (96,2. Perzentil) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin.
Exploit-Reifegrad
CVE-2021-22894 wird durch die Aufnahme in den CISA-Katalog bekannter ausgenutzter Schwachstellen als aktiv ausgenutzt bestätigt. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 03.05.2022 gemäß der Emergency Directive 21-03 zu beheben. Der EPSS-Score von 25,73 % (96,2. Perzentil) deutet auf eine nahezu sichere Ausnutzungsaktivität hin. Diese Schwachstelle war Teil einer Welle von Pulse Connect Secure Sicherheitslücken, die im April 2021 offengelegt wurden und von staatlich unterstützten Bedrohungsakteuren aktiv ausgenutzt wurden. Die Kombination aus Root-Level-Codeausführung und dem strategischen Wert von VPN-Gateways macht diese Schwachstelle besonders attraktiv für fortgeschrittene Angreifer.
Behebung
- Herstellerupdates umgehend einspielen gemäß CISA-KEV-Anforderung: Updates nach Herstelleranweisungen anwenden. Aktualisieren Sie Ivanti Pulse Connect Secure auf Version 9.1R11.4 oder höher, um CVE-2021-22894 vollständig zu beheben.
- Überprüfen Sie, dass alle Instanzen von Ivanti Connect Secure Version 9.0 und 9.1 vor 9.1R11.4 aktualisiert wurden. Achten Sie besonders auf Umgebungen, in denen die Collaboration Suite Meeting-Raum-Funktion aktiv genutzt wird.
- Falls eine sofortige Aktualisierung nicht möglich ist, deaktivieren Sie die Collaboration Suite Meeting-Raum-Funktionalität, um den Angriffsvektor zu eliminieren, bis das Update eingespielt werden kann.
- Führen Sie eine gründliche forensische Überprüfung mit dem Pulse Connect Secure Integrity Checker Tool durch, um festzustellen, ob die Schwachstelle vor der Aktualisierung ausgenutzt wurde. Achten Sie auf Kompromittierungsindikatoren wie modifizierte Systemdateien, nicht autorisierte Konten oder ungewöhnliche Netzwerkverkehrsmuster.
- Setzen Sie alle Benutzer- und Administrator-Zugangsdaten zurück, die über die VPN-Appliance exponiert worden sein könnten, und implementieren Sie Multi-Faktor-Authentifizierung für alle VPN-Administrator-Zugänge.
Technische Details
CVE-2021-22894 nutzt eine Kombination aus Code-Injection (CWE-94) und Buffer-Overflow (CWE-119) Schwachstellen in der Collaboration Suite Komponente von Pulse Connect Secure vor Version 9.1R11.4 aus. Die Schwachstelle befindet sich in der Meeting-Raum-Verarbeitungsfunktionalität, wo Benutzereingaben ohne ordnungsgemäße Grenzprüfung verarbeitet werden, was einem authentifizierten Angreifer ermöglicht, einen Buffer-Overflow-Zustand auszulösen. Dieser Buffer Overflow überschreibt angrenzende Speicherbereiche, wodurch der Angreifer die Programmausführung umleiten und beliebigen Code mit Root-Privilegien ausführen kann. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) zeigt, dass nur eine geringe Authentifizierung erforderlich ist, die resultierende Auswirkung jedoch über alle drei Sicherheitsdimensionen maximal ist.
Häufig gestellte Fragen
Wird CVE-2021-22894 aktiv ausgenutzt?
Ja. CVE-2021-22894 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen gelistet und wird durch die Emergency Directive 21-03 abgedeckt, was die aktive Ausnutzung durch fortgeschrittene Bedrohungsakteure bestätigt. Der EPSS-Score von 25,73 % (96,2. Perzentil) bestätigt eine sehr hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind betroffen?
CVE-2021-22894 betrifft Ivanti Pulse Connect Secure (ehemals Pulse Secure) in den Versionen 9.0 und 9.1 vor 9.1R11.4. Die Schwachstelle befindet sich spezifisch in der Collaboration Suite Meeting-Raum-Funktion.
Wie behebe ich CVE-2021-22894?
Aktualisieren Sie Ivanti Pulse Connect Secure auf Version 9.1R11.4 oder höher. Als Zwischenlösung deaktivieren Sie die Collaboration Suite Meeting-Raum-Funktion. Führen Sie das Pulse Connect Secure Integrity Checker Tool aus und setzen Sie alle möglicherweise exponierten Zugangsdaten zurück.
Wie schwerwiegend ist CVE-2021-22894?
CVE-2021-22894 hat einen CVSS-3.1-Score von 8,8 (HOCH). Eine erfolgreiche Ausnutzung ermöglicht Root-Level-Codeausführung auf der VPN-Appliance und damit eine vollständige Systemübernahme. Das 96,2. EPSS-Perzentil und die bestätigte aktive Ausnutzung machen diese Schwachstelle zu einer dringenden Priorität.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.