企业VPN cookie不安全存储方式缝隙安全公告

颁布功夫 2019-04-15

缝隙编号和级别


CVE编号：CVE-2019-1573，危险级别：高危，CVSS分值：官方未评定


影响版本


如下产品和版本以不安全的方式将 VPN 认证/会话 cookie 存储在日志文件中：
Palo Alto Networks GlobalProtect Agent 4.1.0的Windows 版本和 GlobalProtect Agent 4.1.10之前的 macOS版本 (CVE-2019-1573)

Pulse Secure Connect Secure 早于8.1R14、8.2、8.3R6 和9.0R2 的版本


如下产品将 VPN 认证/会话 cookie以不安全的方式存储在内存中：
Palo Alto Networks GlobalProtect Agent 4.1.0的Windows 版本和 GlobalProtect Agent 4.1.10之前的 macOS 版本 (CVE-2019-1573)
Pulse Secure Connect Secure 早于8.1R14、8.2、8.3R6 和9.0R2 的版本

思科 AnyConnect 4.7.x 和之前版本


缝隙概述


卡内基梅隆大学CERT/CC指出，至少四款企业VPN 利用中存在安全缺点，蕴含思科、F5 Networks、Palo Alto Networks 和 Pulse Secure 的 VPN 利用。


这四款利用已被证实以非加密大局将认证和会话cookie存储在推算机内存或日志文件中。拥有推算机接见权限的攻击者或在推算机上运行的恶意软件可能检索该信息并用于另表系统中以复原受害者的 VPN 会话而无需认证。这就导致攻击者直接且不受故障的接见公司的内部网络、内部网门户或其它敏感的利用法式。


缝隙验证


暂无POC/EXP。


建复建议


Palo AltoNetworks 已颁布更新解决这两个问题：

Palo Alto Networks GlobalProtect Agent 4.1.1的Windows 版本和 GlobalProtect Agent 4.1.11的 macOS0版本：https://securityadvisories.paloaltonetworks.com/Home/Detail/146?AspxAutoDetectCookieSupport=1。


F5 Networks 暗示已在2013年把稳到将认证/会话 cookie 以不安全的方式存储在 OS内存中的情况，不外决定不颁布补丁，而是建议消费者为VPN 客户端启用一次性密码或双成分认证机造；而存储在本地日志文件中的问题已于2017年在 F5 Networks BIG-IP app 中解决。


思科和 Pulse Secure 尚未公开认可该这些问题的存在。


参考链接


https://www.zdnet.com/article/some-enterprise-vpn-apps-store-authentication-session-cookies-insecurely/