Специалисты Министерства внутренней безопасности США и CERT/CC предупредили, что корпоративные VPN-приложения, разрабатываемые компаниями Cisco, F5 Networks, Palo Alto Networks и Pulse Secure, могут представлять опасность для пользователей.
Эксперты объясняют, что продукты данных компаний хранят аутентификационные и сессионные куки в незашифрованном виде, непосредственно на самом устройстве — в памяти или в лог-файлах на диске.
Таким образом, атакующие, имеющий доступ к устройству, или заразивший его малварью, может извлечь эти данные и использовать их в другой системе, чтобы возобновить VPN-сессию пользователя без аутентификации. Фактически, это позволит злоумышленнику проникнуть во внутреннюю сеть компании, попасть на интранет-порталы, получить доступ к закрытым приложениям и так далее.
По информации CERT/CC, в небезопасно хранят куки в лог-файлах следующие продукты:
- Palo Alto Networks GlobalProtect Agent 4.1.0 для Windows, а также GlobalProtect Agent 4.1.10 и более ранних версий для macOS (CVE-2019-1573);
- Pulse Secure Connect Secure до версии1R14, 8.2, 8.3R6 и 9.0R2.
Аутентификационные и сессионные куки в памяти хранят:
- Palo Alto Networks GlobalProtect Agent 4.1.0 для Windows, а также GlobalProtect Agent 4.1.10 и более ранних версий для macOS (CVE-2019-1573);
- Pulse Secure Connect Secure до версии 8.1R14, 8.2, 8.3R6 и 9.0R2;
- Cisco AnyConnect 4.7.x и более ранних версий.
Инженеры Palo Alto Networks уже подготовили исправления для обоих уязвимых решений.
Специалисты F5 Networks сообщили, что им известно о данной проблеме с 2013 года, однако в компании приняли решение не выпускать патчи, но призвали пользователей использовать одноразовые пароли (OTP, one-time password) и двухфакторную аутентификацию. Аналогичная проблема хранения опасных куки в локальных логах была исправлена в 2017 году в F5 Networks BIG-IP.
Представители Cisco и Pulse Secure ситуацию не прокомментировали.
Также эксперты CERT/CC предупреждают, что похожие проблемы могут наблюдаться у множества других VPN-приложений, просто их специалисты пока не тестировали.
Фото: Depositphotos
