概要

2021年4月21日に公開された過去の深刻な脆弱性情報となります。

該当するバージョンをお使いのお客様は速やかに修正OSへのバージョンアップをお願いします。

対象の脆弱性

Pulse Secure製品の認証をバイパスする脆弱性（CVE-2021-22893）が報告されました。
CVSSスコア（V3.1）：10 Critical AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
この脆弱性により、攻撃者がPCSの認証をバイパスして任意のコードを実行する可能性があります。

<具体的な攻撃内容>

この脆弱性を利用して攻撃者は管理者アカウントなしにPSA内部に任意のコードを埋め込み、外部から社内にアクセスできるようにバックドアを設置し、機密情報の流出やWebページの改ざん、ランサムウェアなどを社内マシンに感染させるなどの重大なセキュリティインシデントを引き起こす ことが可能です。

JPCERT/CCにおいてこの脆弱性を用いた攻撃が国内で複数確認しており、対策されていないPCSに対して攻撃者が攻撃範囲を広げる可能性があるため、暫定対策の適用もしくは修正OSにアップグレードしていないお客様は速やかに実施をお願い致します。
2022/6/9※暫定対策が突破されPSAが攻撃者に乗っ取られる事例が複数報告されております。速やかに修正OSへのアップグレードをお願いします。

また、関係した脅威に対して以下のCVE番号が採番されております。

• CVE-2021-22894
  認証済みのユーザはPulse Secure Collaboration機能のオーバーフローにより任意のコードを実行可能です。
• CVE-2021-22899
  認証済みのユーザはWindowsファイル機能を介してコードの実行が可能です。
• CVE-2021-22900
  認証済みの管理者はアーカイブのアップロードを介してファイル書き込みの実行が可能です。

該当するバージョン

CVE-2021-22893
　9.0R3以上
　9.1R1以上

CVE-2021-22894、CVE-2021-22899、CVE-2021-22900
　9.0Rx
　9.1Rx

該当しないバージョン

CVE-2021-22893
9.0R2以下

CVE-2021-22894、CVE-2021-22899、CVE-2021-22900
8.3Rx以下

修正OS

9.1R11.4以上

弊社ダウンロードページより、ダウンロード可能です。
以下のバージョン"以外"から9.1R11.4にアップグレードした後、PC上でアンインストールツールを実行して各種モジュールをアンインストールする必要があります。
　PCS9.1R11.3
　PCS9.1R10.2
　PCS9.1R9.2
　PCS9.1R8.4
詳細は 技術情報 ＞ 制限事項 ＞ PCS 9.1R8以上でPCSへのアクセスが失敗する事象が発生します。
をご確認ください。
https://www1.macnica.net/CGI/product/support/contents/support_syousai.cgi?pro_ctgry_id=39&type=tech&issue_id=13613

※修正版の適用に際して、暫定対策方法にある無効化用XMLを適用済みの場合は修正版へアップグレードする前または後に解除用XMLを適用する必要があります。
アップグレード前に解除用XMLを適用するとアップグレードするまでの間、攻撃者からの攻撃を防ぐことができないため、アップグレード後の適用が安全です。
ps-pcs-sa-44784-remove-workaround-2104.xml

※Windows File Share Browser機能の無効化は設定で実施しているため、再有効化のタイミングは任意で問題ありません。

※ファイルのダウンロードをするにはサポートサイトのアカウントが必要です。

暫定対策方法

2022/6/9※暫定対策が突破されPSAが攻撃者に乗っ取られる事例が複数報告されております。速やかに修正OSへのアップグレードをお願いします。

1. Pulse Secure Collaboration機能の無効化
   XML使用以外の手動による無効化の方法はございません。
   本機能を無効化するXMLファイルを下記のリンクから取得し、適用方法・注意事項をご確認のうえPCSに適用してください。
   
   Pulse Secure Collaboration機能の無効化用XMLファイル：
   ps-pcs-sa-44784-workaround-2104.xml

   ※リンクを右クリックしてxmlファイルとして取得のうえ、PCSへ適用してください。

   ※ファイルのダウンロードをするにはサポートサイトのアカウントが必要です。

   • ・適用方法
     管理画面から以下の操作を実施することでXML設定を適用可能です。
     

     　Maintenance > Import/Export > Import XML

     ※設定のロールバック用に、事前に以下の手順で設定を保存しておくことを推奨いたします。
     Maintenance > Import/Export > Configuration > Save Config As
     Maintenance > Import/Export > User Accounts > Save Config As

     ※PCSの前面にロードバランサーが設置されていて、かつ以下を使用していない場合、動作に影響する可能性がございます。
     ラウンドロビン
     HealthCheck.cgi
     Advanced healthcheck.cgi
     これらを使用していない場合は、XML適用後に経過を観察し、異常が発生しないことをご確認ください。

   ※9.0R1～9.0R4.1および9.1R1～9.1R2では、このXMLを適用してもPulse Secure Collaboration機能が無効化されません。

   ※ライセンスサーバのPCSはユーザアクセスを想定していないため、XMLの適用ではなく別途ファイアウォールなどを用いて、PCSに接続可能なIPアドレスを限定するなどの対策を推奨いたします。

   XMLの適用を解除するには以下のXMLを同じ手順で適用します。
   ps-pcs-sa-44784-remove-workaround-2104.xml

   ※脆弱性が対策されたバージョンへのアップグレードを実施する際は、このXMLを適用してPulse Secure Collaboration機能を通常の状態へ戻してください。

   ※ファイルのダウンロードをするにはサポートサイトのアカウントが必要です。

2. Windows File Share Browser機能の無効化
   Roleの設定を解除する（チェックを外す）ことにより機能を無効化してください。
   Users > User Roles > [Role名] > General > Files, Windows
   
   上記を実施することで、完全な対策ではありませんが脆弱性を利用した攻撃に対する軽減策とすることが可能です。
   
   メーカ情報の最新の更新で、PCS以外の機器を用いて以下のURIを制限する対策が掲示されました。
   ^/+dana/+meeting
   ^/+dana/+fb/+smb ^/+dana-cached/+fb/+smb
   ^/+dana-ws/+namedusers
   ^/+dana-ws/+metric

   ※実施にはSSLオフロードを行う必要がありますが、
   VPN Tunnelingなどで通信が不安定になる場合があるため、ご検討される際は十分に検証の実施を推奨いたします。

補足

最新情報に関しては以下のメーカ記事で更新されますため、
定期的にチェックいただけますようお願いいたします。
SA44784
※弊社でも記事を確認し、変更があり次第本記事を更新いたします。

脆弱性の詳細については攻撃手法を推測できる可能性があるため、
お問い合わせいただいた場合でもメーカ公開情報以外の回答はできません。
予めご了承ください。