CVE-2021-22899highbajo ataqueCWE-77

CVE-2021-22899: fallo de gravedad alta en Pulse Connect Secure

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Connect Secure+ Monitorear Pulse Connect Secure

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

56Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA.

ssvc Actcvss 8.8epss 23%
de la publicación al arma
Publicada en NVD27 may
CISA KEV+160d
Acción exigida por CISAplazo federal: 2022-05-03

Apply updates per vendor instructions.

En resumen

Pulse Connect Secure tiene un fallo en su característica Windows Resource Profiles que permite a usuarios autenticados ejecutar comandos arbitrarios en el servidor. Esto es peligroso porque alguien con credenciales de inicio de sesión puede tomar control del sistema.

Detalle técnico

Vulnerabilidad de inyección de comandos (CWE-77) en la característica Windows Resource Profiles de Pulse Connect Secure en versiones anteriores a 9.1R11.4 permite que un atacante autenticado ejecute comandos del sistema arbitrarios con los privilegios de la aplicación, resultando en compromiso completo del servidor.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A command injection vulnerability exists in Pulse Connect Secure before 9.1R11.4 allows a remote authenticated attacker to perform remote code execution via Windows Resource Profiles Feature
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · Pulse Connect Secure