Des pirates exploitent actuellement des failles de sécurité connues dans le logiciel VPN « Pulse Connect Secure », avertit l’autorité américaine de cybersécurité CISA. Elle inclut donc le logiciel du fournisseur Pulse Secure dans le catalogue « Known Exploited Vulnerabilities », une collection de versions de logiciels vulnérables connues pour être attaquées par des cybercriminels. Le CERT-Bund se joint à l’avertissement. Des mises à jour pour combler la faille sont déjà disponibles depuis le milieu de l’année 2020.
Pulse Secure avait colmaté les failles de la version 9.1R8 des produits « Pulse Connect Secure » et « Pulse Policy Secure ». Selon l’avis de sécurité, elles concernaient exclusivement les composants du serveur. La CISA ne précise toutefois pas quelle vulnérabilité est exactement visée par les attaquants.
Le CERT-Bund explique toutefois que les pirates pourraient, sans authentification, exécuter du code de programme arbitraire depuis Internet, étendre leurs droits, manipuler des fichiers, accéder à des informations sans autorisation, paralyser le logiciel ou contourner les mesures de sécurité. Il estime donc que le risque lié aux failles est « très élevé ».
Rattraper les mises à jour
La CISA donne jusqu’au 7 septembre 2022 aux autorités américaines auprès desquelles elle est habilitée à donner des instructions pour mettre à jour leurs logiciels. Elle recommande toutefois à toutes les autres organisations et entreprises de colmater les failles de sécurité connues et activement exploitées.
Dans les pays germanophones également, les administrateurs et les responsables informatiques ne devraient pas hésiter à mettre à jour Pulse Connect Secure à un niveau non vulnérable. Ainsi, les cybercriminels n’auront aucune chance d’exploiter ces failles pour s’introduire dans le réseau et le compromettre.
La dernière fois que Pulse Connect Secure d’Ivanti a été corrigé, c’était au milieu de l’année dernière, des failles de sécurité qui auraient permis aux pirates de compromettre complètement les systèmes. Les administrateurs devraient donc mettre à jour la version actuelle du logiciel et non pas une version plus ancienne.