企业VPN cookie不清静存储方法误差清静通告

宣布时间 2019-04-15

误差编号和级别


CVE编号：CVE-2019-1573，，，，，危险级别：高危，，，，，CVSS分值：官方未评定


影响版本


如下产品和版本以不清静的方法将 VPN 认证/会话 cookie 存储在日志文件中：
Palo Alto Networks GlobalProtect Agent 4.1.0的Windows 版本和 GlobalProtect Agent 4.1.10之前的 macOS版本 (CVE-2019-1573)

Pulse Secure Connect Secure 早于8.1R14、8.2、8.3R6 和9.0R2 的版本


如下产品将 VPN 认证/会话 cookie以不清静的方法存储在内存中：
Palo Alto Networks GlobalProtect Agent 4.1.0的Windows 版本和 GlobalProtect Agent 4.1.10之前的 macOS 版本 (CVE-2019-1573)
Pulse Secure Connect Secure 早于8.1R14、8.2、8.3R6 和9.0R2 的版本

思科 AnyConnect 4.7.x 和之前版本


误差概述


卡内基梅隆大学CERT/CC指出，，，，，至少四款企业VPN 应用中保存清静缺陷，，，，，包括思科、F5 Networks、Palo Alto Networks 和 Pulse Secure 的 VPN 应用。。。。。。。


这四款应用已被证实以非加密形式将认证和会话cookie存储在盘算机内存或日志文件中。。。。。。。具有盘算时机见权限的攻击者或在盘算机上运行的恶意软件能够检索该信息并用于另外系统中以恢复受害者的 VPN 会话而无需认证。。。。。。。这就导致攻击者直接且不受阻碍的会见公司的内部网络、内部网门户或其它敏感的应用程序。。。。。。。


误差验证


暂无POC/EXP。。。。。。。


修复建议


Palo AltoNetworks 已宣布更新解决这两个问题：

Palo Alto Networks GlobalProtect Agent 4.1.1的Windows 版本和 GlobalProtect Agent 4.1.11的 macOS0版本：https://securityadvisories.paloaltonetworks.com/Home/Detail/146?AspxAutoDetectCookieSupport=1。。。。。。。


F5 Networks 体现已在2013年注重到将认证/会话 cookie 以不清静的方法存储在 OS内存中的情形，，，，，不过决议不宣布补丁，，，，，而是建议消耗者为VPN 客户端启用一次性密码或双因素认证机制；；；；；而存储在外地日志文件中的问题已于2017年在 F5 Networks BIG-IP app 中解决。。。。。。。


思科和 Pulse Secure 尚未果真认可该这些问题的保存。。。。。。。


参考链接


https://www.zdnet.com/article/some-enterprise-vpn-apps-store-authentication-session-cookies-insecurely/