JVNVU#91550568
Pulse Secure Linux GUI における SSL サーバ証明書の検証不備の脆弱性
Pulse Secure Linux GUI には、 SSL サーバ証明書の検証に不備があり、攻撃者によって接続設定を変更される問題が存在します。
- Pulse Secure Linux GUI
Pulse Secure は SSL-VPN リモートアクセス製品です。 Pulse Secure Linux の GUI クライアントには WebKit が使用され、GUI による処理は JavaScript 関数のオーバライドにより実装されています。しかし、当該製品の WebKit には SSL サーバ証明書の検証エラーを検知しない不備が存在します。そのため、GUI クライアントが信頼できないネットワークに存在する VPN サーバへ接続する際、攻撃者はこの GUI クライアントの動作に介入することが可能です。例えば、攻撃者は VPN 接続設定を変更したり、新しい設定を作成することが可能となります。また Pulse Secure Linux GUI クライアントが VPN 接続を確立した際に表示されるウェルカムメッセージを改ざんすることも可能となります。
攻撃者によって Pulse Secure Linux GUI とサーバとの間のトラフィックを改ざんされ、接続設定を変更されたり、ユーザに表示される情報を改ざんされたりする可能性があります。結果として、ユーザが悪意のあるサーバに接続される可能性があります。
アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
本脆弱性は Pulse Secure PULSE5.3R4.2 Software (Build 639) および PULSE5.2R9.2 Software (Build 638) で対策されています。
詳細は、開発者が提供する情報をご確認ください。
ワークアラウンドを実施する
次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。
- Pulse Secure Linux client CLI を使用する
- Pulse Secure Linux GUI を信頼できないネットワークに接続しない
-
CERT/CC Vulnerability Note VU#319904
Pulse Secure Linux client GUI fails to validate SSL certificates
| 攻撃元区分(AV) | 物理 (P) | ローカル (L) | 隣接 (A) | ネットワーク (N) |
|---|---|---|---|---|
| 攻撃条件の複雑さ(AC) | 高 (H) | 低 (L) | ||
| 必要な特権レベル(PR) | 高 (H) | 低 (L) | 不要 (N) | |
| ユーザ関与レベル(UI) | 要 (R) | 不要 (N) | ||
| スコープ(S) | 変更なし (U) | 変更あり (C) | ||
| 機密性への影響(C) | なし (N) | 低 (L) | 高 (H) | |
| 完全性への影響(I) | なし (N) | 低 (L) | 高 (H) | |
| 可用性への影響(A) | なし (N) | 低 (L) | 高 (H) |
| 攻撃元区分(AV) | ローカル (L) | 隣接 (A) | ネットワーク (N) |
|---|---|---|---|
| 攻撃条件の複雑さ(AC) | 高 (H) | 中 (M) | 低 (L) |
| 攻撃前の認証要否(Au) | 複数 (M) | 単一 (S) | 不要 (N) |
| 機密性への影響(C) | なし (N) | 部分的 (P) | 全面的 (C) |
| 完全性への影響(I) | なし (N) | 部分的 (P) | 全面的 (C) |
| 可用性への影響(A) | なし (N) | 部分的 (P) | 全面的 (C) |
