VPN-udbydere adresserer sårbarhedsfund fra forskere

Virtuelle private netværk (VPN'er) er udviklet til at kryptere trafik mellem punkter på internettet. Som Computing Læg det, de udvider et privat netværk på tværs af et offentligt netværk, "ofte bruges til at give personale, der arbejder eksternt, adgang til ressourcer på deres organisations virksomhedsnetværk."

Godt, VPN'er er i nyhederne i denne uge, men på en sikkerhedsbemærkning, at forskere opdagede, at VPN-sikkerhedsfejl kunne åbne et netværk for angreb.

Pentesting, sikkerhedskonsulentfirmaet Devcore gjorde opdagelsen, som opfordrede dem til at åbne deres blograpport med ".SSL VPN'er beskytter virksomhedens aktiver mod interneteksponering, men hvad hvis SSL VPN'er selv er sårbare?"

Devcore-forskerne hævdede sikkerhedsfejl i tre VPN'er, der kunne gøre det muligt for angribere at stjæle fortrolige oplysninger fra en virksomheds netværk. De skrev om tre udbydere, nemlig Palo Alto Networks, Fortinet og Pulse Secure.

De sagde, at "vi afslører praktiske angreb, der er i stand til at kompromittere millioner af mål, herunder tech-giganter og mange industriledere. Disse teknikker og metoder udgives i håbet om, at de kan inspirere flere sikkerhedsforskere til at tænke ud af boksen."

Deres seneste indlæg har titlen "Attacking SSL VPN—Part 1:PreAuth RCE on Palo Alto GlobalProtect, med Uber som casestudy!" diskuterer resultater fra Orange Tsai og Meh Chang, de to sikkerhedsforskere.

De er på en mission:"I de seneste måneder, vi startede en ny undersøgelse af sikkerheden for førende SSL VPN-produkter. Vi planlægger at offentliggøre vores resultater på 3 artikler."

Fra den 17. juli de postede deres første artikel. Ifølge holdets undersøgelse, Palo Alto GlobalProtect før juli sidste år var sårbare. Fejlen siges at være meget ligetil, en simpel formatstrengssårbarhed uden krav om godkendelse.

(Det er interessant, fordi som Dev Kundaliya i Computing sagde, "Som regel, virksomheder giver deres personale et firmabrugernavn og adgangskode, som skal indtastes, sammen med en to-faktor godkendelseskode, før adgang til virksomhedens netværk kan gives til VPN." Alligevel kunne fejlen gøre det muligt for en person at bryde ind i et netværk uden brugernavn/adgangskode.)

Men hvorfor nævnte de Uber i deres titel? Det er fordi de satte sig for at se, om nogen store virksomheder brugte det sårbare GlobalProtect, og de sagde, at de fandt Uber som en af ​​dem. Uber, ifølge deres fund, ejede omkring 22 servere, der kører GlobalProtect rundt om i verden.

Resultat? Ingen lur på Uber. De fremskyndede et svar og rettede sårbarheden, men kommenterede også deres egen undersøgelse. "Under vores interne undersøgelse, vi fandt ud af, at Palo Alto SSL VPN ikke er det samme som den primære VPN, som bruges af størstedelen af ​​vores medarbejdere."

Troede du, at en opdagelse af VPN-fejl er speciel for disse tre? Ingen, slet ikke. Som påpeget i Computing , "Det er ikke første gang, at sikkerhedsfejl er blevet fremhævet i VPN-software..."

En artikel tilbage i 2015 i Computing sagde, at størstedelen af ​​VPN-tjenester led af IPv6-trafiklækage.

I maj i år, Computing 's Graeme Burton rapporterede om advarsler om VPN-tjenester, der bruges til at aflytte brugere.

Fejlen ved fjernudførelse af kode, indekseret som CVE-2019-1579 bar denne beskrivelse:

"Fjernkodeudførelse i PAN-OS 7.1.18 og tidligere, PAN-OS 8.0.11 og tidligere, og PAN-OS 8.1.2 og tidligere med GlobalProtect Portal eller GlobalProtect Gateway Interface aktiveret, kan tillade en uautoriseret fjernangriber at udføre vilkårlig kode."

Sårbarheden påvirker kun ældre versioner af softwaren.

Palo Alto Networks, i mellemtiden, handlede som svar på rapporten. "Palo Alto Networks er opmærksom på den rapporterede sårbarhed ved fjernudførelse af kode (RCE) i deres GlobalProtect-portal og GlobalProtect Gateway-interfaceprodukter. Problemet er allerede behandlet i tidligere vedligeholdelsesudgivelser. (Ref:CVE-2019-1579)."

Pulse Secure sagde, at de udgav en patch i april, ifølge Computing . TechRadar sagde, at Fortinet opdaterede sin firmware for at løse sårbarheden.

Du kan forvente at høre mere fra dem den 7. august, hvor deres arbejde er planlagt som en briefing på Black Hat.

© 2019 Science X Network