De amerikanska myndigheterna DHS och CISA pekar i en rapport ut vpn-appar från några av de största och mest betrodda leverantörerna av säkerhetslösningar som sårbara och potentiellt utsatta för attacker där förövaren kan gå runt lösenordet. Även CERT/CC varnar för sårbarheten, skriver Bleeping Computer.

Vpn-apparna från F5 Networks, Cisco, Palo Alto Networks och Pulse Secure lagrar sessionskakor på ett osäkert sätt, enligt de amerikanska myndigheterna. Enligt förklaringarna i sårbarhetsdatabasen Common Weakness Enumeration (CWE-311) beror sårbarheten på att applikationerna inte ”krypterar känslig eller kritiskt information innan informationen lagras eller skickas”, vilket kan medföra att förövare kan utföra man-i-mitten-attacker. Enligt DHS/CISA kan ”förövare även utnyttja sårbarheten för att ta över berörda system”.

CERT/CC skriver å sin sida att problemet med dessa vpn-appar kan vara generellt för många andra vpn-appar, vilket kan få till följd att hundratals vpn-appar kan vara sårbara. Samtidigt har man testat vpn-appar från Check Point och pfSense med gott resultat, det vill säga de hade inte denna sårbarhet.

TechWorld Summit 4 juni 2019, nätverka med 300 IT-proffs och få samtidigt en heltäckande överblick av den senaste tekniken.

Varken Cisco eller Pulse Secure har gått ut med någon information om deras appar, men Palo Alto Networks har gått ut med ett säkerhetsråd med mer information om sårbarheten CVE-2019-1573.

Palo Alto har även släppt nya versioner av sin GlobalProtect Agent - de nya säkra versionerna ska vara 4.1.1 för Windows och 4.1.11 för Mac OS. F5 Networks har varit medvetna om problemet sen 2013, men menar att sårbarheten går att motverka genom att använda två-faktor-autentisering eller engångslösenord, istället för bara lösenord.

Följande vpn-appar är sårbara genom att lagra okrypterade kakor i loggfiler:

  • Palo Alto Networks GlobalProtect Agent 4.1.0 för Windows och GlobalProtect Agent 4.1.10 och tidigare för Mac OS (CVE-2019-1573).
  • Pulse Secure Connect Secure innan 8.1R14, 8.2, 8.3R6 och 9.0R2.

Följande vpn-appar är sårbara genom att lagra okrypterade kakor i minnet:

  • Palo Alto Networks GlobalProtect Agent 4.1.0 för Windows och GlobalProtect Agent 4.1.10 eller tidigare for Mac OS (CVE-2019-1573).
  • Pulse Secure Connect Secure innan 8.1R14, 8.2, 8.3R6 och 9.0R2.
  • Cisco AnyConnect 4.7.x eller tidigare.

Läs också:
Cisco fuskade med sina patchar – sårbarheterna kvar i routrarna
Sju säkerhetshot mot mobilen att ta på allvar