Setki aplikacji VPN jest podatnych na ujawnienie tajemnic przedsiębiorstwa

19 kwietnia 2019

Sprawa jest poważna, skoro w kampanię informacyjną zaangażował się Departament Bezpieczeństwa Krajowego Stanów Zjednoczonych (Department of Homeland Security). Urzędnicy opublikowali ostrzeżenie o nowo odkrytej luce, która prawdopodobnie dotyczy ponad 200 aplikacji do tunelowania ruchu sieciowego (VPN).

Organizacje są wystawione na ryzyko przejęcia kontroli nad systemem (Windows i/lub macOS), na którym uruchomione jest narzędzie do tunelowania. Jeśli atakujący uzyska dostęp do punktu końcowego lub wyodrębni plik cookie przy użyciu jakiejś metody, będzie mógł odtworzyć sesję i ominąć metody uwierzytelniania. Osoba atakująca miałaby wówczas dostęp do tych samych aplikacji, do których ma pracownik organizacji, kiedy łączy się z firmowym serwerem za pomocą VPN.

Podatności są dwie: CVE-2019-1573 i CVE-2019-11213. Luki zostały potwierdzone na przykład w oprogramowaniu Cisco AnyConnect VPN, GlobalProtect Agent (PaloAlto), Pulse Desktop Client i narzędziu firmy F5 Network. Wielu producentów (ponad 200) nie ustosunkowało się do opublikowanej informacji przez amerykańską instytucję rządową i US-CERT. W związku z tym dokładna skala problemu nie jest znana.

Odnotujmy jeszcze producentów, których oprogramowanie do tunelowania na pewno NIE jest podatne na ten atak: Check Point, LANCOM System, pfSense, Sophos i Zscaler.

Organizacje powinny zapoznać się z informacjami na stronie: https://www.kb.cert.org/vuls/id/192371, a także skontaktować się z producentem oprogramowania VPN, które jest wykorzystywane przez pracowników do szyfrowania połączenia, aby dowiedzieć się więcej o luce.

PODZIEL SIĘ:

Share on facebook
Share on twitter
Share on linkedin
Share on email
AUTOR: Adrian Ścibor
Redaktor prowadzący AVLab.pl i CheckLab.pl.
guest
0 komentarzy
Inline Feedbacks
View all comments

Newsletter

BĄDŹ ZAWSZE NA BIEŻĄCO!

Newsletter

ZAPISZ SIĘ NA POWIADOMIENIA
BĄDŹ ZAWSZE NA BIEŻĄCO!
zapisz się

POLECANE PRODUKTY

YUBICO

Klucze zabezpieczające

SILNE UWIERZYTELNIANIE DWUSKŁADNIKOWE, WIELOSKŁADNIKOWE I BEZ HASŁA

ankieta

Czy w Twojej firmie używa się dwuskładnikowego logowania?
GŁOSUJ

Newsletter

BĄDŹ ZAWSZE NA BIEŻĄCO!

Newsletter

ZAPISZ SIĘ NA POWIADOMIENIA
BĄDŹ ZAWSZE NA BIEŻĄCO!
zapisz się

Newsletter

BĄDŹ ZAWSZE NA BIEŻĄCO!

Newsletter

ZAPISZ SIĘ NA POWIADOMIENIA E-MAIL I ZAWSZE BĄDŹ NA BIEŻĄCO!
zapisz się

POLECANE PRODUKTY

YUBICO

Klucze zabezpieczające

SILNE UWIERZYTELNIANIE DWUSKŁADNIKOWE, WIELOSKŁADNIKOWE I BEZ HASŁA

ankieta

Czy w Twojej firmie używa się dwuskładnikowego logowania?
GŁOSUJ