Популярные корпоративные VPN хранили cookies сессии незащищенными

Популярные корпоративные VPN хранили cookies сессии незащищенными

Популярные корпоративные VPN хранили cookies сессии незащищенными

Координационный центр Университета Карнеги Меллон предупреждает, что по меньшей мере четыре VPN-приложения, используемые корпоративными клиентами, содержат уязвимости. Среди проблемных приложений эксперты выделили VPN-сервисы от Cisco, F5 Networks, Palo Alto Networks и Pulse Secure.

Согласно опубликованному исследователями сообщению, все четыре приложения хранят cookie аутентификации и сессий в незашифрованном виде. Эти лог-файлы можно найти на диске компьютера или в его памяти.

В результате атакующий, у которого есть доступ к компьютеру жертвы (или установленная в системе вредоносная программа), может получить эти данные, а затем использовать их на другой системе, чтобы возобновить VPN-сессию жертвы. При этом злоумышленнику не потребуется походить процесс аутентификации.

По словам специалистов, следующие продукты хранят cookies в незащищенном виде в логах:

  • Palo Alto Networks GlobalProtect Agent 4.1.0 для Windows и GlobalProtect Agent 4.1.10 и более ранние версии для macOS (CVE-2019-1573).
  • Pulse Secure Connect Secure версии до 8.1R14, 8.2, 8.3R6 и 9.0R2.

А эти продукты хранят cookies в незащищенном виде в памяти:

  • Palo Alto Networks GlobalProtect Agent 4.1.0 для Windows и GlobalProtect Agent 4.1.10 и более ранние версии для macOS (CVE-2019-1573).
  • Pulse Secure Connect Secure версии до 8.1R14, 8.2, 8.3R6 и 9.0R2.
  • Cisco AnyConnect 4.7.x и более ранние версии.

Palo Alto Networks выпустила обновление v4.1.1, которое устраняет эти проблемы.

В F5 Networks заявили, что разработчики в курсе этих уязвимостей с 2013 года, однако сознательно не хотят выпускать патч, рекомендуя клиентам включить OTP или 2FA.

 

Встроенный Speed Test Windows 11 оказался просто ссылкой на Bing

Microsoft добавила в Windows 11 новую функцию «проверить скорость подключения» через значок сети на панели задач. Она пришла вместе с февральским опциональным обновлением и затем попала в мартовские обновления, включая KB5079473. Но нативной утилиты, которую многие наверняка ожидали, пока не получилось.

На практике всё работает куда прозаичнее: после нажатия на кнопку система просто открывает окно браузера и запускает тест скорости на Bing.

То есть это не отдельный встроенный интерфейс Windows, а скорее ярлык на веб-страницу с проверкой скорости. Именно на это обратил внимание Neowin, где новую функцию уже успели назвать очень уж минималистичной реализацией.

 

При этом есть и маленький плюс: Windows, судя по описанию, уважает браузер по умолчанию. Иными словами, тест открывается через Bing, но не заставляет пользователя переходить именно в Microsoft Edge.

Вообще, сама идея встроенного теста скорости звучала неплохо ещё в осенних инсайдерских сборках Windows 11, где эту кнопку увидели впервые. Но в финальной версии получилось скорее не встроенный инструмент, а быстрый способ открыть нужную страницу. Так что ожидания были примерно про мини-приложение в стиле системной утилиты, а реальность — про веб-обёртку с логотипом Bing.

RSS: Новости на портале Anti-Malware.ru