CVE-2021-22899
Ivanti Pulse Connect Secure Command Injection Vulnerability
Beschreibung
CVE-2021-22899 ist eine hochgradig kritische Command-Injection-Schwachstelle in Ivanti Pulse Connect Secure. Der Fehler betrifft Pulse Connect Secure in Versionen vor 9.1R11.4, bei dem ein remote authentifizierter Angreifer über die Windows File Resource Profiles Funktion Remote-Codeausführung erreichen kann. Die CISA hat CVE-2021-22899 in ihren Katalog der bekannten ausgenutzten Schwachstellen unter der Emergency Directive 21-03 aufgenommen und damit die aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 16,58 % (94,8. Perzentil) stellt diese Ivanti Pulse Connect Secure Command-Injection-Schwachstelle eine erhebliche und aktiv angegriffene Bedrohung dar.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ivanti | connect secure | 9.0; 9.1 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44784/?kA23Z000000boUWSAY(Broken Link, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-22899(US Government Resource)
Schwachstellentyp
CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection')
Command-Injection-Schwachstellen treten auf, wenn Software Systembefehle unter Verwendung extern beeinflusster Eingaben konstruiert, ohne Sonderzeichen ordnungsgemäß zu neutralisieren, die den beabsichtigten Befehl verändern könnten. Bei CVE-2021-22899 bereinigt die Windows File Resource Profiles Funktion in Pulse Connect Secure Benutzereingaben nicht ordnungsgemäß, wodurch ein authentifizierter Angreifer Betriebssystembefehle einschleusen kann, die vom zugrunde liegenden Server ausgeführt werden.
Mehr erfahren: CWE-77 — Improper Neutralization of Special Elements used in a Command ('Command Injection')
Auswirkungsanalyse
CVE-2021-22899 hat einen CVSS-3.1-Score von 8,8 (HOCH), was auf eine schwerwiegende Sicherheitsbedrohung hinweist. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität ausnutzbar und erfordert nur niedrige Privilegien sowie keine Benutzerinteraktion. Eine erfolgreiche Ausnutzung ermöglicht dem Angreifer die Ausführung beliebiger Betriebssystembefehle auf der Pulse Connect Secure Appliance, was zur vollständigen Kompromittierung der Vertraulichkeit, Integrität und Verfügbarkeit führt. Ein Angreifer könnte Command Injection nutzen, um sensible VPN-Konfigurationsdaten und Zugangsdaten zu extrahieren, persistente Hintertüren zu installieren, VPN-Routing zu manipulieren oder die kompromittierte Appliance als Ausgangspunkt für laterale Bewegung im internen Netzwerk zu verwenden. Der EPSS-Score von 16,58 % (94,8. Perzentil) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin.
Exploit-Reifegrad
CVE-2021-22899 wird durch die Aufnahme in den CISA-Katalog bekannter ausgenutzter Schwachstellen als aktiv ausgenutzt bestätigt. Bundesbehörden waren verpflichtet, diese Schwachstelle bis zum 03.05.2022 gemäß der Emergency Directive 21-03 zu beheben. Der EPSS-Score von 16,58 % (94,8. Perzentil) deutet auf eine hohe Ausnutzungsaktivität hin. Diese Schwachstelle wurde zusammen mit CVE-2021-22894 und CVE-2021-22900 im Rahmen einer koordinierten Sicherheitsempfehlung für Pulse Connect Secure im Mai 2021 offengelegt, und alle drei Schwachstellen wurden von fortgeschrittenen Bedrohungsakteuren aktiv ausgenutzt. Die geringe Authentifizierungsanforderung (nur niedrige Privilegien erforderlich) macht diese Command-Injection-Schwachstelle für Angreifer besonders zugänglich.
Behebung
- Herstellerupdates umgehend einspielen gemäß CISA-KEV-Anforderung: Updates nach Herstelleranweisungen anwenden. Aktualisieren Sie Ivanti Pulse Connect Secure auf Version 9.1R11.4 oder höher, um CVE-2021-22899 vollständig zu beheben.
- Überprüfen Sie, dass alle Instanzen von Ivanti Connect Secure Version 9.0 und 9.1 vor 9.1R11.4 aktualisiert wurden. Prüfen Sie die Windows File Resource Profiles Konfiguration auf nicht autorisierte Profile.
- Falls eine sofortige Aktualisierung nicht möglich ist, deaktivieren oder beschränken Sie die Windows File Resource Profiles Funktion, um die Angriffsfläche zu minimieren, bis das Update eingespielt werden kann.
- Implementieren Sie Eingabevalidierung und Befehlsbereinigung auf Netzwerkebene mittels einer Web Application Firewall (WAF), um potenziell schädliche Anfragen an den Windows Resource Profiles Endpunkt zu filtern.
- Führen Sie eine forensische Überprüfung mit dem Pulse Connect Secure Integrity Checker Tool durch, um Kompromittierungsindikatoren zu identifizieren. Überwachen Sie Systemprotokolle auf ungewöhnliche Befehlsausführungsmuster und setzen Sie alle Zugangsdaten zurück, die über die kompromittierte Appliance exponiert worden sein könnten.
Technische Details
CVE-2021-22899 nutzt eine Command-Injection-Schwachstelle (CWE-77) in der Windows File Resource Profiles Funktion von Pulse Connect Secure vor Version 9.1R11.4 aus. Die Schwachstelle entsteht, weil Benutzereingaben, die über die Windows Resource Profiles Schnittstelle übergeben werden, ohne ordnungsgemäße Neutralisierung von Sonderzeichen oder Befehlstrennern in Systembefehle eingebaut werden. Ein authentifizierter Angreifer mit niedrigen Privilegien kann eine manipulierte Resource-Profile-Anfrage erstellen, die eingeschleuste Betriebssystembefehle enthält, die dann vom Server mit den Privilegien des Pulse Connect Secure Anwendungsprozesses ausgeführt werden. Der CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) bestätigt die netzwerkbasierte Ausnutzbarkeit bei geringer Komplexität und nur niedrigen Privilegien, mit maximaler Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit.
Häufig gestellte Fragen
Wird CVE-2021-22899 aktiv ausgenutzt?
Ja. CVE-2021-22899 ist im CISA-Katalog bekannter ausgenutzter Schwachstellen gelistet und wird durch die Emergency Directive 21-03 abgedeckt, was die aktive Ausnutzung durch fortgeschrittene Bedrohungsakteure bestätigt. Der EPSS-Score von 16,58 % (94,8. Perzentil) weist auf eine hohe Ausnutzungswahrscheinlichkeit hin.
Welche Produkte sind betroffen?
CVE-2021-22899 betrifft Ivanti Pulse Connect Secure (ehemals Pulse Secure) in den Versionen 9.0 und 9.1 vor 9.1R11.4. Die Schwachstelle befindet sich spezifisch in der Windows File Resource Profiles Funktion.
Wie behebe ich CVE-2021-22899?
Aktualisieren Sie Ivanti Pulse Connect Secure auf Version 9.1R11.4 oder höher. Als Zwischenlösung deaktivieren oder beschränken Sie die Windows File Resource Profiles Funktion. Führen Sie das Pulse Connect Secure Integrity Checker Tool aus und setzen Sie alle möglicherweise exponierten Zugangsdaten zurück.
Wie schwerwiegend ist CVE-2021-22899?
CVE-2021-22899 hat einen CVSS-3.1-Score von 8,8 (HOCH). Die Command-Injection-Schwachstelle erfordert nur niedrige Authentifizierung und ermöglicht Remote-Codeausführung auf der VPN-Appliance. Das 94,8. EPSS-Perzentil und die bestätigte aktive Ausnutzung machen diese Schwachstelle zu einer dringenden Priorität.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.