CVE-2021-22900highbajo ataqueCWE-94

CVE-2021-22900: fallo de gravedad alta en Pulse Secure Secure

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Connect Secure+ Monitorear Pulse Secure Secure

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

56Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA.

ssvc Actcvss 7.2epss 14%
de la publicación al arma
Publicada en NVD27 may
CISA KEV+160d
Acción exigida por CISAplazo federal: 2022-05-03

Apply updates per vendor instructions.

En resumen

Un administrador autenticado podría cargar un archivo malicioso en formato de compresión a través de la interfaz web de Pulse Connect Secure, permitiendo la escritura de archivos arbitrarios en el sistema. Esta vulnerabilidad afecta versiones anteriores a la 9.1R11.4.

Detalle técnico

Vulnerabilidad CWE-94 (Control Inadecuado de la Generación de Código) explotada mediante cargas sin restricción en la interfaz administrativa. Un administrador autenticado puede crear un archivo comprimido malicioso para escribir ficheros en el sistema debido a la validación insuficiente del contenido del archivo. Requiere privilegios administrativos y afecta Pulse Connect Secure versiones anteriores a 9.1R11.4.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A vulnerability allowed multiple unrestricted uploads in Pulse Connect Secure before 9.1R11.4 that could lead to an authenticated administrator to perform a file write via a maliciously crafted archive upload in the administrator web interface.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · Pulse Secure Secure