Специалисты Министерства внутренней безопасности США и CERT/CC предупредили, что корпоративные VPN-приложения, разрабатываемые компаниями Cisco, F5 Networks, Palo Alto Networks и Pulse Secure, могут представлять опасность для пользователей.

Эксперты объясняют, что продукты данных компаний хранят аутентификационные и сессионные куки в незашифрованном виде, непосредственно на самом устройстве — в памяти или в лог-файлах на диске.

Таким образом, атакующие, имеющий доступ к устройству, или заразивший его малварью, может извлечь эти данные и использовать их в другой системе, чтобы возобновить VPN-сессию пользователя без аутентификации. Фактически, это позволит злоумышленнику проникнуть во внутреннюю сеть компании, попасть на интранет-порталы, получить доступ к закрытым приложениям и так далее.

По информации CERT/CC, в небезопасно хранят куки в лог-файлах  следующие продукты:

  • Palo Alto Networks GlobalProtect Agent 4.1.0 для Windows, а также GlobalProtect Agent 4.1.10 и более ранних версий для macOS (CVE-2019-1573);
  • Pulse Secure Connect Secure до версии1R14, 8.2, 8.3R6 и 9.0R2.

Аутентификационные и сессионные куки в памяти хранят:

  • Palo Alto Networks GlobalProtect Agent 4.1.0 для Windows, а также GlobalProtect Agent 4.1.10 и более ранних версий для macOS (CVE-2019-1573);
  • Pulse Secure Connect Secure до версии 8.1R14, 8.2, 8.3R6 и 9.0R2;
  • Cisco AnyConnect 4.7.x и более ранних версий.

Инженеры Palo Alto Networks уже подготовили исправления для обоих уязвимых решений.

Специалисты F5 Networks сообщили, что им известно о данной проблеме с 2013 года, однако в компании приняли решение не выпускать патчи, но призвали пользователей использовать одноразовые пароли (OTP, one-time password) и двухфакторную аутентификацию. Аналогичная проблема хранения опасных куки в локальных логах была исправлена в 2017 году в F5 Networks BIG-IP.

Представители Cisco и Pulse Secure ситуацию не прокомментировали.

Также эксперты CERT/CC предупреждают, что похожие проблемы могут наблюдаться у множества других VPN-приложений, просто их специалисты пока не тестировали.

Фото: Depositphotos

  • Подпишись на наc в Telegram!

    Только важные новости и лучшие статьи

    Подписаться

  • Подписаться
    Уведомить о
    0 комментариев
    Межтекстовые Отзывы
    Посмотреть все комментарии