Alcune applicazioni VPN usate in ambito business permettono di superare l'autenticazione

Il Dipartimento della sicurezza interna degli Stati Uniti d’America (DHS) ha segnalato la scoperta di un insieme di lacune di sicurezza all’interno delle soluzioni VPN di Palo Alto Networks, Pulse Secure, Cisco e F5 Networks usate in ambito aziendale.
Stando a quanto riportato, alcune applicazioni utilizzate per la connessione a server VPN gestirebbero in maniera imperfetta i cookie per la gestione delle varie sessioni mantenendole in memoria o salvandole all’interno di file di log.

Ovviamente il problema è piuttosto circoscritto perché l’aggressore deve già avere la possibilità di accedere al sistema dell’utente-vittima oppure sottrarre il cookie di sessione in altro modo.
In questi frangenti, però, un utente malintenzionato potrebbe effettivamente superare gli altri controlli e i meccanismi di autenticazione usati dai servizi VPN svolgendo operazioni senza averne alcun titolo.

In questa pagina è pubblicato l’elenco completo dei vendor le cui soluzioni sono ritenute vulnerabili.
I tecnici di Palo Alto Networks hanno comunque già risolto il problema rilasciando un aggiornamento di GlobalProtect Agent per i sistemi Windows e macOS.
Da F5 Networks si spiega che gli utenti, per fidare su un maggior livello di sicurezza, possono attivare l’utilizzo di una one-time password (valida per un solo utilizzo) o del meccanismo di autenticazione a due fattori.

Il DHS non esclude che le “leggerezze” nella gestione dei cookie di sessione possano accomunare altri client VPN.