Är din bärbara dator skyddas av VPN i din smartphone när du använder det till en hotspot?
Vi svara på denna fråga och visa dig hur du håller din anslutning säkert.
Minst fyra Virtuella Privata Nätverk (VPN) program säljas eller göras tillgänglig för företagskunder dela säkerhetsbrister, varnar Carnegie Mellon University CERT Coordination Center (CERT/CC).
VPN-program från Cisco, F5 Networks, Palo Alto Networks och Puls Säker påverkas, CERT/CC analytiker Madison Oliver sa i en säkerhetsvarning som offentliggjordes tidigare idag.
Alla fyra har bekräftats att lagra verifiering och/eller sessions-cookies i en icke-krypterad form inne i datorns minne eller loggfiler som sparas på disk.
En angripare med tillgång till dator, eller skadlig kod körs på datorn, kan hämta informationen och sedan använda den på ett annat system för att återuppta offrets VPN-sessioner utan att behöva autentisera. Detta gör att en angripare direkt och obehindrad tillgång till företagets interna nätverk, intranät, portaler eller andra känsliga applikationer.
Utsatta företagets VPN-apps
Enligt CERT/CC alert, följande produkter och versioner butik VPN-autentiserings – /session cookies osäkert i loggfiler:
– Palo Alto Networks GlobalProtect Agent 4.1.0 för Windows och GlobalProtect Agent 4.1.10 och tidigare för macOS0 (CVE-2019-1573)
– Puls Säkert Anslut Säkra före 8.1R14, 8.2, s.8.3R6, och 9.0R2
Följande produkter och versioner kan du lagra VPN-autentiserings – /session-cookie osäkert i minnet:
– Palo Alto Networks GlobalProtect Agent 4.1.0 för Windows och GlobalProtect Agent 4.1.10 och tidigare för macOS0 (CVE-2019-1573)
– Puls Säkert Anslut Säkra före 8.1R14, 8.2, s.8.3R6, och 9.0R2
– Cisco AnyConnect 4.7.x och tidigare
Palo Alto Networks har släppt en uppdatering som ska lösa båda frågorna –se v4.1.1.
F5 Networks sa att det varit medvetna om att vissa av dess VPN-apps store autentiserings – /session-cookies i OS-minne i ett osäkert sätt sedan 2013, men har gjort ett beslut att inte släppa en patch, ge råd till kunder som gör det möjligt OTP (one-time password) eller 2FA (två-faktor autentisering) för deras VPN-klient –istället för att bara använda ett lösenord utmaning.
Problemet med att lagra autentiserings – /session-cookies i lokala loggfiler blev fixad i F5 Networks BIG-IP-app 2017.
Cisco och Puls Secure har inte offentligt har erkänt problemen. Företagets VPN-program från Check Point och pfSense var bedöms som säker.
Tiotals, kanske hundratals, av VPN-appar kan vara utsatta
“Det är troligt att denna konfiguration är den generiska för att ytterligare VPN-program,” Oliver sa, vilket tyder på att många av de andra 240 företagets VPN-leverantörer som CERT/CC är att hålla koll på kan också vara påverkat, och skulle kräva fler tester.
“Remote Access” – grupp som arbetar med den Nationella Försvar ISAC, en community för att dela it och fysisk säkerhet hot indikatorer för den AMERIKANSKA försvaret sektorn, var krediteras med upp frågan om otrygga lagring av företagets VPN-autentiserings – /session cookies.
Mer sårbarhet rapporter:
Dragonblood sårbarheter avslöjas i wi-fi trådlöst Lan WPA3 standardTens av de tusentals bilar som var kvar utsatt för tjuvar på grund av en hårdkodade lösenord
Adobe patch squash kritiska kod bugsBackdoor koden som finns i populära Bootstrap-Sass Ruby libraryMicrosoft April Patch tisdag kommer med korrigeringar för två Windows-noll-daysIntel äntligen frågor Spoiler attack alertKRACK attack: Här är hur företagen hanterar CNETTop 10 appen sårbarheter: Unpatched plugins och tillägg dominera TechRepublic
Relaterade Ämnen:
Affärssystem
Säkerhet-TV
Hantering Av Data
CXO
Datacenter