Is uw laptop beschermd door de VPN op uw smartphone wanneer u een hotspot?
Wij geven antwoord op deze vraag en u tonen hoe om te houden van uw verbinding veilig is.
Ten minste vier Virtual Private Network (VPN) toepassingen verkocht of ter beschikking gesteld aan zakelijke klanten delen beveiligingsfouten, waarschuwt de Carnegie Mellon University CERT Coordination Center (CERT/CC).
VPN-apps van Cisco, F5 Networks, Palo Alto Networks, en Pulse Veilig zijn beïnvloed, CERT/CC-analist Madison Oliver zei in een security alert eerder vandaag gepubliceerd.
Alle vier zijn bevestigd voor het opslaan van verificatie-en/of sessie cookies in niet-gecodeerde vorm in een computer geheugen of de log-bestanden opgeslagen op de harde schijf.
De aanvaller toegang tot de computer of malware op de computer, kan het ophalen van deze informatie en gebruik het dan op een ander systeem weer het slachtoffer VPN-sessies zonder te verifiëren. Hierdoor kan een aanvaller directe en ongehinderde toegang tot een intern netwerk, intranet portals, of andere gevoelige toepassingen.
Kwetsbare enterprise VPN-apps
Volgens het CERT/CC-alert, volgende producten en versies slaan VPN-authenticatie/sessie cookies onveilig in log-files:
– Palo Alto Networks GlobalProtect Agent 4.1.0 voor Windows en GlobalProtect Agent 4.1.10 en eerdere versies voor macOS0 (CVE-2019-1573)
– Pulse-Beveiligde Verbinding Beveiligde vóór 8.1R14, 8.2, 8.3R6, en 9.0R2
De volgende producten en versies opslaan van de VPN-authenticatie/sessie cookie onveilig in het geheugen:
– Palo Alto Networks GlobalProtect Agent 4.1.0 voor Windows en GlobalProtect Agent 4.1.10 en eerdere versies voor macOS0 (CVE-2019-1573)
– Pulse-Beveiligde Verbinding Beveiligde vóór 8.1R14, 8.2, 8.3R6, en 9.0R2
– Cisco AnyConnect 4.7.x en voorafgaande
Palo Alto Networks heeft een update uitgebracht voor beide problemen –zie v4.1.1.
F5 Networks zei: het is bekend dat sommige van haar VPN-apps store authenticatie/sessie cookies in de OS geheugen in een onveilige manier vanaf 2013, maar een beslissing heeft genomen, niet voor het vrijgeven van een patch, adviseren van klanten, zodat OTP (one-time password) of 2FA (twee-factor authenticatie) voor hun VPN-client, in plaats van met slechts een wachtwoord uitdaging.
Het probleem met het opslaan van authenticatie/sessie cookies in lokale log-bestanden is gepatched in de F5 BIG-IP-app in 2017.
Cisco en Pulse-Secure is niet publiekelijk erkent de problemen. Enterprise VPN-apps van Check Point en pfSense werden veilig geacht.
Tientallen, misschien honderden, van de VPN-apps kwetsbaar
“Het is waarschijnlijk dat deze configuratie is een algemene aanvullende VPN-toepassingen,” Oliver zei, wat suggereert dat veel van de andere 240 enterprise-VPN-providers die CERT/CC houden van kan ook worden beïnvloed, en zou meer testen.
De “Remote Access” werkgroep met de Nationale Verdediging ISAC, een community voor het delen van cyber en fysieke bedreiging van de indicatoren voor de AMERIKAANSE defensie sector, werd gecrediteerd met de kwestie van onveilige opslag van enterprise VPN-authenticatie/sessie cookies.
Meer kwetsbaarheid rapporten:
Dragonblood kwetsbaarheden bekend gemaakt in WiFi WPA3 standardTens van duizenden auto ‘ s waren kwetsbaar voor dieven door een hardcoded wachtwoord
Adobe patch update pompoenen kritieke code bugsBackdoor code gevonden in de populaire Bootstrap-Sass Ruby libraryMicrosoft s April Patch dinsdag komt met oplossingen voor twee Windows zero-daysIntel eindelijk problemen Spoiler aanval alertKRACK aanval: Hier is hoe bedrijven reageren CNETTop 10 app kwetsbaarheden: Ongepatchte plug-ins en extensies domineren TechRepublic
Verwante Onderwerpen:
Enterprise Software
Beveiliging TV
Data Management
CXO
Datacenters