Risque(s)

• Exécution de code arbitraire à distance

Systèmes affectés

• Pulse Connect Secure versions antérieures à 9.1R.11.5
  

Résumé

Une vulnérabilité a été découverte dans Pulse Connect Secure. Elle permet à un attaquant de

provoquer une exécution de code arbitraire à distance.

 

Contournement provisoire

Note importante : la version corrective n'est pas encore disponible, le mode de contournement dépend de la version actuelle de l'équipement :

• les équipements en version 9.1R11.4 doivent appliquer le contournement proposé dans le bulletin de sécurité de l'éditeur SA44800 (utilisation du fichier Workaround-2015.xml)
• les équipements en versions 9.1R11.3 et antérieures doivent appliquer le contournement indiqué dans le bulletin de sécurité de l'éditeur SA44784 publié le 20 avril 2021 (utilisation du fichier Workaround-2014.xml) [1]

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité Pulse Secure SA44800 du 14 mai 2021
  https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44800/?kA23Z000000boUgSAI
• Référence CVE CVE-2021-22908
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22908
• [1] alerte de sécurité CERT-FR CERTFR-2021-ALE-007
  https://www.cert.ssi.gouv.fr/alerte/CERTFR-2021-ALE-007/