Zero-Day-Lücke bei Pulse Connect Secure noch offen
26. Mai 2021 um 09:56
Ende Mai soll ein Patch für die neue Buffer Overflow Schwachstelle im SSL-VPN-Gateway von Ivanti kommen.
Es besteht eine Zero-Day-Schwachstelle im Pulse Connect Secure SSL-VPN-Gateway (PCS) von Ivanti, die mit dem maximalen CVSS-Wert von 10.0 eingestuft wird.
Anfangs Mai meldete Ivanti, die ausgenutzte Lücke "CVE-2021-22893" werde geschlossen.
Inzwischen wurde eine weitere Buffer Overflow Schwachstelle (CVE-2021-22908) bekannt. Dies inklusive zugehöriger Mitigationsmassnahmen [PSE2021d], denn auch diese Lücke hat mit 8.5 einen sehr hohen CVSS-Wert und betrifft die Pulse Connect Secure Versionen 9.0Rx und 9.1Rx.
Der Patch für diese Schwachstelle wurde vom Hersteller für Ende Mai mit der Version 9.1R11.5 angekündigt.
In der Zwischenzeit hat Ivanti eine Workaround-Datei ("Workaround-2105.xml") veröffentlicht, die importiert werden kann, meldet das CERT Coordination Center der Carnegie Mellon Universität mit mehr Details.
"Bis zur Veröffentlichung des Patches v 9.1R11.5 sind die vom Hersteller benannten Mitigationsmassnahmen anzuwenden", so das deutsche BSI (PDF), das angesichts des hohen Angriffrisikos für Bundesbehörden eine Emergency Directive publiziert hat.
Laut Ivanti-Angaben nutzen 78 der Fortune-100-Firmen die Produkte.
Loading
Die Nachhaltigkeitsagenda im öffentlichen Leben umsetzen
Die öffentliche Hand strebt nach Nachhaltigkeit, setzt Ziele und kommuniziert sie. Die Herausforderung liegt in der Evaluierung der Umsetzung. Hierfür gibt es Tools, die den Impact messen, Trends beobachten und Handlungsempfehlungen aus dem Verhältnis zwischen Indikator und Ist-Zustand ableiten.
KMU fühlen sich schlecht über Cybergefahren informiert
Der Berner Gewerbeverband hat KMU zu ihren Sorgen und Problemen gefragt. Neben Fachkräftemangel und finanziellen Druck sorgen sie sich wegen Cyberrisiken.
Bericht: Heikle Daten aus Concevis-Hack aufgetaucht
Bankdaten von US-Bürgern sollen im Darkweb gelandet sein, die aus dem Angriff auf den Schweizer IT-Dienstleister stammen. Der Fall wirft Fragen auf.
Die EU bündelt ihre Kräfte für die Cyberabwehr
In einem neuen Zentrum sollen alle sicherheitsrelevanten Informationen aus den EU-Staaten zusammenfliessen. So will man besser auf Cyberangriffe vorbereitet sein.