报告编号：B6-2019-082601
报告来源：360-CERT
报告作者：360-CERT
更新日期：2019-08-26
0x00 漏洞背景
360CERT检测到有关安全研究员公布Pulse Secure SSL VPN 多个漏洞。攻击这可以利用漏洞读取任意文件包括明文密码、账号信息和Session信息，以及进入后台后执行系统命令。
0x01 漏洞详情
漏洞编号：
CVE-2019-11510 – 非授权任意文件读取漏洞
CVE-2019-11542 - 授权后堆栈缓冲区溢出漏洞
CVE-2019-11539 - 授权后命令注入漏洞
CVE-2019-11538 - 授权后任意文件读取漏洞
CVE-2019-11508 - 授权后任意文件写入漏洞
CVE-2019-11540 - 授权后会话劫持漏洞
漏洞影响:
CVE-2019-11510: 在不需授权的情况下可以读取系统任意文件
/etc/passwd/etc/hosts/data/runtime/mtmp/system/data/runtime/mtmp/lmdb/dataa/data.mdb/data/runtime/mtmp/lmdb/dataa/lock.mdb/data/runtime/mtmp/lmdb/randomVal/data.mdb/data/runtime/mtmp/lmdb/randomVal/lock.mdb
Vpn用户和密码hash存储mtmp/system 中，dataa/data.mdb 存储这用户登陆后缓存的明文密码，randomVal/data.mdb 存储着用户Session。攻击者可以利用该漏洞获取账号密码登录后台。
CVE-2019-11539：后台命令注入漏洞，在利用上步进入后台后可以结合此洞执行系统命令。 
(注：图片截于Orange Tsai BlackHat PPT) 注意：部分漏洞利用脚本已在网上公开，不排除已经有黑客开始利用该漏洞进行攻击。
0x02 影响版本
| 漏洞编号 | 影响版本 |
|---|---|
| CVE-2019-11510 | Pulse Connect Secure: 9.0RX 8.3RX 8.2RX |
| CVE-2019-11542 | Pulse Connect Secure: 9.0RX 8.3RX 8.2RX 8.1RX 和 Pulse Policy Secure：9.0RX 5.4RX 5.3RX 5.2RX 5.1RX |
| CVE-2019-11539 | Pulse Connect Secure: 9.0RX 8.3RX 8.2RX 8.1RX 和 Pulse Policy Secure: 9.0RX 5.4RX 5.3RX 5.2RX 5.1RX |
| CVE-2019-11538 | Pulse Connect Secure: 9.0RX 8.3RX 8.2RX 8.1RX |
| CVE-2019-11508 | Pulse Connect Secure: 9.0RX 8.3RX 8.2RX 8.1RX |
| CVE-2019-11540 | Pulse Connect Secure: 9.0RX 8.3RX 和 Pulse Policy Secure: 9.0RX 5.4RX |
0x03 修复建议
官方已发布修复版本： https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44101/
0x04 时间线
2019-08-10 部分漏洞详情公开
2019-08-21 部分漏洞利用脚本公开
2019-08-26 360CERT发布预警
0x05 参考链接
- https://hackerone.com/reports/591295
- https://www.blackhat.com/us-19/briefings/schedule/#infiltrating-corporate-intranet-like-nsa---pre-auth-rce-on-leading-ssl-vpns-15545
声明：本文来自360CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
