Pulse Secure พบช่องโหว่ร้ายแรงระดับ 10 ขณะนี้ยังไม่มีแพทซ์แก้ไข

มีการค้นพบช่องโหว่ CVE-2021-22893 ในผลิตภัณฑ์ Pulse Connect Secure (PCS) ที่ช่วยให้อุปกรณ์พกพา เช่น  โน๊ตบุ๊ค สมาร์ทโฟน ฯลฯ สามารถเชื่อมต่อ VPN เพื่อเข้าถึงข้อมูลหรือบริการต่าง ๆ ขององค์กรได้ ซึ่งช่องโหว่ดังกล่าวมีความรุนแรงระดับ 10/10 ส่งผลกระทบกับอุปกรณ์ในเวอร์ชัน 9.0R3 ขึ้นไปและพบว่าถูกใช้เป็นช่องทางโจมตีเหยื่อแล้ว

โดยทีม security research ของ FireEye ที่ค้นพบช่องโหว่นี้ระบุว่าจะทำให้แฮกเกอร์สามารถขโมย Active Directory credential และ bypass การทำ multifactor authentication บนอุปกรณ์ Pulse Secure ได้ ซึ่งส่งผลให้แฮกเกอร์สามารถเข้าถึงระบบเครือข่ายของผู้ที่ตกเป็นเหยื่อ นอกจากนี้แฮกเกอร์ยังจะฝัง scripts บนอุปกรณ์เพื่อให้ malware ยังคงอยู่ถึงแม้ว่าผู้ดูแลระบบจะอัปเดตซอฟแวร์หรือทำ factory reset แล้ว ดังนั้นการอัปเดตเป็นเวอร์ชัน 9.1R.11.4 จึงทำได้เพียงบรรเทาความรุนแรงที่อาจจะเกิดขึ้นเท่านั้น แต่การแก้ไขช่องโหว่นี้ คาดว่าจะออกมาในช่วงต้นเดือนพฤษภาคม อย่างไรก็ตามขอให้ผู้ใช้งาน Pulse Connect Secure (PCS) SSL VPN appliance อัปเดตอุปกรณ์เป็นเวอร์ชัน 9.1R.11.4 จากนั้นให้รอการอัปเดตอย่างเต็มรูปแบบอีกครั้ง

ที่มา:  https://www.bleepingcomputer.com/news/security/pulse-secure-vpn-zero-day-used-to-hack-defense-firms-govt-orgs/