Vulnérabilités dans Pulse Connect Secure

Date de publication :

CVE-2021-22937 [Score CVSS v3 : 7.2 ]
Une vulnérabilité dans Pulse Connect Secure. Son exploitation pourrait permettre à un attaquant distant et authentifié en tant qu’administrateur d’écrire dans des fichiers non spécifiés via une archive malicieusement conçue téléchargée dans l'interface web de l'administrateur.

CVE-2021-22933 [Score CVSS v3 : 6.5 ]
Une vulnérabilité dans Pulse Connect Secure. Son exploitation pourrait permettre à un attaquant distant et authentifié en tant qu’administrateur d'effectuer une suppression de fichier arbitraire via une requête web malicieusement conçue. 

CVE-2021-22934 [Score CVSS v3 : 7.2 ]
Une vulnérabilité dans Pulse Connect Secure. Son exploitation pourrait permettre à un attaquant distant et authentifié en tant qu’administrateur ou à un attaquant ayant pris le contrôle d’un dispositif Pulse Connect Secure compromis dans une configuration d'équilibrage de charge d'effectuer un dépassement de tampon via une requête web malicieuse. 

CVE-2021-22935 [Score CVSS v3 : 7.2 ]
Une vulnérabilité dans Pulse Connect Secure. Son exploitation pourrait permettre à un attaquant distant et authentifié en tant qu’administrateur d'effectuer une injection de commande via un paramètre web non sécurisé.

CVE-2021-22936 [Score CVSS v3 : 6.1 ]
Une vulnérabilité dans Pulse Connect Secure. Son exploitation pourrait permettre à un attaquant distant et non authentifié de réaliser une attaque de type cross-site script contre un administrateur authentifié via un paramètre web non anonymisé. 

CVE-2021-22938 [Score CVSS v3 : 7.2 ]
Une vulnérabilité dans Pulse Connect Secure. Son exploitation pourrait permettre à un attaquant distant et authentifié en tant qu’administrateur d'effectuer une injection de commande par le biais d'un paramètre web non anonymisé dans la console web de l'administrateur.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Atteinte à l’intégrité des données
  • Exécution de code arbitraire à distance
  • Injection de code arbitraire (XSS)

Criticité

  • Scores CVSS v3 : 7.2 max

Existence d’un code d’exploitation

  • Aucun code d’exploitation n’est disponible publiquement à l’heure actuelle.

Composants vulnérables

  • Pulse Connect Secure versions antérieures à 9.1R12

CVE

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour Pulse Connect Secure conformément aux instructions de l’éditeur.

Solution de contournement

  • Aucune solution de contournement n’est disponible publiquement à l’heure actuelle.

Liens