Il notebook è protetto da VPN per il tuo smartphone quando si utilizza un hotspot?
Rispondere a questa domanda e vi mostrerà come mantenere la vostra connessione sicura.
Almeno quattro di Rete Privata Virtuale (VPN) applicazioni vendute o messe a disposizione per i clienti enterprise condividere le falle di sicurezza, avverte la Carnegie Mellon University CERT Coordination Center (CERT/CC).
VPN apps da Cisco, F5 Networks, Palo Alto Networks, di Impulso e sono Sicuro impatto, CERT/CC analista di Madison Oliver ha detto in un avviso di sicurezza pubblicato in data odierna.
Tutti e quattro sono stati confermati per negozio di autenticazione e/o i cookie di sessione in un non-forma criptata all’interno di una memoria del computer o i file di log salvati sul disco.
Un utente malintenzionato di accedere al computer, o il malware in esecuzione sul computer, è possibile recuperare queste informazioni e utilizzarlo in un altro sistema per riprendere la vittima sessioni VPN, senza bisogno di autenticazione. Questo consente a un utente malintenzionato diretto e libero accesso alla rete interna di una società, portali intranet, o altre applicazioni sensibili.
Vulnerabili enterprise VPN apps
Secondo il CERT/CC avviso, dei seguenti prodotti e versioni archivio di autenticazione VPN/i cookie di sessione in modo non sicuro nel file di registro:
– Palo Alto Networks GlobalProtect Agente 4.1.0 per Windows e GlobalProtect Agente 4.1.10 e precedenti per macOS0 (CVE-2019-1573)
– Impulso di Connessione Sicura Sicura prima dell ‘ 8.1R14, 8.2, 8.3R6, e 9.0R2
I seguenti prodotti e versioni memorizzare l’autenticazione VPN/cookie di sessione in modo non sicuro in memoria:
– Palo Alto Networks GlobalProtect Agente 4.1.0 per Windows e GlobalProtect Agente 4.1.10 e precedenti per macOS0 (CVE-2019-1573)
– Impulso di Connessione Sicura Sicura prima dell ‘ 8.1R14, 8.2, 8.3R6, e 9.0R2
– Cisco AnyConnect 4.7.x e prima
Palo Alto Networks ha rilasciato un aggiornamento per risolvere entrambi i problemi, consultare il v4.1.1.
F5 Networks ha detto che è stato informato del fatto che alcuni dei suoi VPN app store di autenticazione/cookies di sessione nella memoria del sistema operativo in maniera insicura a partire dal 2013, ma ha preso la decisione di non rilasciare una patch, consulenza ai clienti per abilitare OTP (one-time password) o 2FA (autenticazione a due fattori) per il loro client VPN –invece di utilizzare una sola password sfida.
Il problema con la memorizzazione di autenticazione/cookies di sessione in un file di log locale è stato patchato in Reti F5 BIG-IP app nel 2017.
Cisco e Impulso di Sicuro non hanno pubblicamente riconosciuto i problemi. Enterprise VPN apps da Check Point e pfSense sono stati ritenuti sicuri.
Decine, forse centinaia, di VPN applicazioni possono essere vulnerabili
“È probabile che questa configurazione è generico per ulteriori applicazioni VPN,” Oliver ha detto, suggerendo che molti altri 240 enterprise VPN provider, che CERT/CC è tenere traccia di potrebbe essere influenzata, e richiedono ulteriori test.
Il “Accesso Remoto” gruppo di lavoro per la Difesa Nazionale ISAC, una comunità per la condivisione di informatica e fisica minaccia per la sicurezza degli indicatori per la difesa del settore, è stato accreditato con posto il problema di insicurezza storage enterprise di autenticazione VPN/i cookie di sessione.
Più vulnerabilità di report:
Dragonblood vulnerabilità divulgate in WiFi WPA3 standardTens di migliaia di auto sono state lasciate a vista per i ladri a causa di un hardcoded password
Adobe patch di aggiornamento zucchine critica esecuzione di codice in modalità bugsBackdoor codice che si trova nella popolare di Bootstrap-Sass Ruby libraryMicrosoft di aprile il martedì delle Patch viene fornito con correzioni per due Windows zero-daysIntel, infine, i problemi di Spoiler attacco alertKRACK attacco: Ecco come le aziende stanno rispondendo CNETTop 10 app vulnerabilità senza Patch, i plugin e le estensioni dominare TechRepublic
Argomenti Correlati:
Enterprise Software
Di sicurezza, TV
La Gestione Dei Dati
CXO
Centri Dati