Er din bærbare computer er beskyttet af VPN i din smartphone, når du bruger det til et hotspot?
Vi besvarer dette spørgsmål og vise dig, hvordan at holde din forbindelse sikker.
Mindst fire Virtuelle Private Netværk (VPN) programmer, solgt eller gjort tilgængelige for virksomhedens kunder deler sikkerhedshuller, advarer om, Carnegie Mellon University CERT Coordination Center (CERT/CC).
VPN-apps fra Cisco, F5 Networks, Palo Alto Networks, Puls og Sikkert er påvirket, CERT/CC analytiker Madison Oliver sagde i en sikkerhedsadvarsel, der blev offentliggjort tidligere i dag.
Alle fire er blevet bekræftet til at gemme godkendelse og/eller session cookies i ikke-krypteret form inde i en computers hukommelse eller log filer, der er gemt på disk.
En hacker adgang til computeren, eller malware, der kører på computeren, kan hente disse oplysninger, og derefter bruge det på et andet system til at genoptage offer ‘ s VPN-sessioner uden at behøve at godkende. Dette gør det muligt for en hacker direkte og uhindret adgang til virksomhedens interne netværk, intranet, portaler, eller andre følsomme anvendelser.
Sårbare virksomhedens VPN-apps
Ifølge CERT/CC alarm, efter produkter og versioner butik VPN-godkendelse/session-cookies usikkert i log-filer:
– Palo Alto Networks GlobalProtect Agent 4.1.0 til Windows og GlobalProtect Agent 4.1.10 og tidligere for macOS0 (CVE-2019-1573)
– Puls Sikker Forbindelse Sikre forud for 8.1R14, 8.2, 8.3R6, og 9.0R2
Følgende produkter og versioner butik VPN-godkendelse/session cookie usikkert i hukommelsen:
– Palo Alto Networks GlobalProtect Agent 4.1.0 til Windows og GlobalProtect Agent 4.1.10 og tidligere for macOS0 (CVE-2019-1573)
– Puls Sikker Forbindelse Sikre forud for 8.1R14, 8.2, 8.3R6, og 9.0R2
– Cisco AnyConnect 4.7.x og forud
Palo Alto Networks har udgivet en opdatering for at løse begge problemer –se v4.1.1.
F5 Networks sagde, at det er blevet gjort opmærksom på, at nogle af dens VPN-apps butik godkendelse/session-cookies i OS hukommelse på en usikker måde, eftersom 2013, men har lavet en beslutning om ikke at udgive en patch, der rådgiver kunder om at sætte OTP (one-time password) eller 2FA (to-faktor-autentificering) for deres VPN-klienten –i stedet for blot at bruge en adgangskode udfordring.
Problemet med lagring af godkendelse/session-cookies i lokal log-filer blev lappet sammen i F5 Networks BIG-IP-app i 2017.
Cisco og Puls Sikkert ikke offentligt anerkendt spørgsmål. Virksomhedens VPN-apps fra Check Point og pfSense blev anset for at være sikker.
Titusinder, måske hundredvis af VPN-apps, der kan være sårbare
“Det er sandsynligt, at denne konfiguration er generisk til yderligere VPN-applikationer,” Oliver sagde, tyder på, at mange af de andre 240 virksomhedens VPN-udbydere, der CERT/CC er at holde styr på, kan også blive påvirket, og det ville kræve flere forsøg.
“Remote Access” arbejdsgruppe med det Nationale Forsvar ISAC, et fællesskab for deling af cyber-og fysisk sikkerhed trussel indikatorer for det AMERIKANSKE forsvar sektor, blev krediteret med rejst spørgsmålet om usikker opbevaring af virksomhedens VPN-godkendelse/session-cookies.
Mere sårbarhed rapporter:
Dragonblood sårbarheder offentliggjort i WiFi WPA3 standardTens af tusindvis af biler blev efterladt udsat for tyvene på grund af en hardcodede adgangskode
Adobe patch update squash kritiske kode bugsBackdoor kode, som findes i populær Bootstrap-Sass Ruby libraryMicrosoft April Patch tirsdag kommer med rettelser til Windows nul-daysIntel endelig spørgsmål Spoiler angreb alertKRACK angreb: Her er hvordan virksomheder reagerer CNETTop 10 app sårbarheder: Unpatched plugins og udvidelser dominere TechRepublic
Relaterede Emner:
Virksomhedens Software
Sikkerhed-TV
Data Management
CXO
Datacentre