CVE-2019-11539highbajo ataqueransomwareCWE-78

CVE-2019-11539

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Pulse Connect Secure and Pulse Policy Secure

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 8epss 99%
de la publicación al arma131 días
Publicada en NVD26 abr
1ª PoC+131d
metasploit24 abr
CISA KEV+922d
Acción exigida por CISAplazo federal: 2022-05-03

Apply updates per vendor instructions.

En resumen

Un atacante autenticado puede inyectar y ejecutar comandos arbitrarios a través de la interfaz de administración web de los productos Pulse Secure, comprometiendo todo el sistema. Esta es una falla crítica porque permite a alguien con credenciales de inicio de sesión tomar el control total del dispositivo.

Detalle técnico

Vulnerabilidad de inyección de comandos (CWE-78) en la interfaz web de administración de Pulse Connect Secure y Pulse Policy Secure permite que usuarios autenticados ejecuten comandos arbitrarios del sistema operativo. El vector de ataque requiere credenciales válidas de administrador y afecta múltiples versiones de productos anteriores a los niveles de parche especificados; la explotación exitosa resulta en compromiso total del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

In Pulse Secure Pulse Connect Secure version 9.0RX before 9.0R3.4, 8.3RX before 8.3R7.1, 8.2RX before 8.2R12.1, and 8.1RX before 8.1R15.1 and Pulse Policy Secure version 9.0RX before 9.0R3.2, 5.4RX before 5.4R7.1, 5.3RX before 5.3R12.1, 5.2RX before 5.2R12.1, and 5.1RX before 5.1R15.1, the admin web interface allows an authenticated attacker to inject and execute commands.
CVSS:3.0/AC:H/AV:N/A:H/C:H/I:H/PR:H/S:C/UI:N
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.