Категория > Новости > Многие корпоративные VPN-приложения признали небезопасными - «Новости»
Многие корпоративные VPN-приложения признали небезопасными - «Новости»16-04-2019, 12:01. Автор: Audley |
"); }else{ $('#mpu1-desktop').remove(); console.log('mpu1-desktop removed'); } }); Рекомендуем почитать: Xakep #240. Ghidra
Специалисты Министерства внутренней безопасности США и CERT/CC предупредили, что корпоративные VPN-приложения, разрабатываемые компаниями Cisco, F5 Networks, Palo Alto Networks и Pulse Secure, могут представлять опасность для пользователей. Эксперты объясняют, что продукты данных компаний хранят аутентификационные и сессионные куки в незашифрованном виде, непосредственно на самом устройстве — в памяти или в лог-файлах на диске. Таким образом, атакующие, имеющий доступ к устройству, или заразивший его малварью, может извлечь эти данные и использовать их в другой системе, чтобы возобновить VPN-сессию пользователя без аутентификации. Фактически, это позволит злоумышленнику проникнуть во внутреннюю сеть компании, попасть на интранет-порталы, получить доступ к закрытым приложениям и так далее. По информации CERT/CC, в небезопасно хранят куки в лог-файлах следующие продукты:
Аутентификационные и сессионные куки в памяти хранят:
Инженеры Palo Alto Networks уже подготовили исправления для обоих уязвимых решений. Специалисты F5 Networks сообщили, что им известно о данной проблеме с 2013 года, однако в компании приняли решение не выпускать патчи, но призвали пользователей использовать одноразовые пароли (OTP, one-time password) и двухфакторную аутентификацию. Аналогичная проблема хранения опасных куки в локальных логах была исправлена в 2017 году в F5 Networks BIG-IP. Представители Cisco и Pulse Secure ситуацию не прокомментировали. Также эксперты CERT/CC предупреждают, что похожие проблемы могут наблюдаться у множества других VPN-приложений, просто их специалисты пока не тестировали. Фото: Depositphotos Перейти обратно к новости |