烽火狼烟丨Pulse Connect Secure 0day漏洞的安全影响力评估

烽火狼烟丨Pulse Connect Secure 0day漏洞的安全影响力评估 – 作者:WebRAY

前言

2021年04月21日，WebRAY烽火台实验室监测到Pulse Secure官方发布了有关Pulse Connect Secure SSL VPN设备的0day漏洞安全公告，漏洞编号为：CVE-2021-22893。攻击者可通过构造恶意请求绕过身份验证在Pulse Connect Secure网关上执行任意代码。WebRAY烽火台实验室建议相关用户在管理VLAN上部署许可证服务器或配置防火墙实施源IP限制。

Pulse Connect Secure 支持从任何终端设备到云和数据中心的服务和应用程序的安全远程以及移动接入。通过使用Pulse Connect Secure，用户可安全地连接到企业Pulse Connect Secure的SSL VPN网关，无论在何处都可以立即访问业务应用程序和网络数据。

WebRAY烽火台实验室将持续关注该漏洞进展，并第一时间为您更新该漏洞信息。

网络基本情况

（Pulse Connect Secure SSL VPN设备基本分布情况）

盛邦安全网络空间搜索引擎发现全球共有18458台设备对公网开放，具体分布情况分布见下图（颜色深浅代表数量多少，颜色越深数量越多）。

全球范围对公网开放Pulse Connect Secure SSL VPN设备中，美国最多，有9704台设备对公网开放。其次是中国，有1505台设备对公网开放，日本排第三，有974台对公网开放的Pulse Connect Secure SSL VPN设备。英国有874台Pulse Connect Secure SSL VPN设备对公网开放，德国有581台Pulse Connect Secure SSL VPN设备对公网开放，韩国有480台Pulse Connect Secure SSL VPN设备对公网开放。

在中国境内对公网开放的Pulse Connect Secure SSL VPN设备中，台湾最多，有565台设备对公网开放。其次是上海，有319台设备对公网开放，香港排第三，有242台Pulse Connect Secure SSL VPN设备对公网开放。湖北有123台Pulse Connect Secure SSL VPN设备对公网开放，北京有118台Pulse Connect Secure SSL VPN设备对公网开放，江苏有9台Pulse Connect Secure SSL VPN设备对公网开放。

漏洞详情

漏洞编号	影响版本
CVE-2021-22893	Pulse Connect Secure ≥ 9.0R3

漏洞评级及其修复建议

1、漏洞评级

WebRAY烽火台实验室风险评级：高危

2、修复建议

（1）导入Workaround-2104.xml文件

获取链接：https://my.pulsesecure.net

导入步骤如下：

转到Maintenance > Import/Export > Import XML，导入文件。

（2）禁用Windows文件浏览器，具体步骤如下：

导航到User > User Role > Click Default Option >> Click onGeneral，在访问功能下，确保未选中“Files, Window”选项，转到Users > User Roles，依次单击每个角色，并确保在每个角色的“AccessFeature”下未启用“File，Windows”选项。（3）使用黑名单功能来禁用基于URL的攻击，如下所示：^ / +dana / +会议^ / +dana / + fb / + smb^ / +dana-cached / + fb / + smb^ / +dana-ws / + namedusers^ / +dana-ws / + metric（4）在管理VLAN上部署许可服务器；（5）配置防火墙进行源IP限制。