IT業界資訊媒體

【唔好搞錯】大品牌一樣失手 CERT 公布多個企業級 VPN 漏洞

美國電腦網絡危機處理及協調中心 CERT 日前公布,多家廠商推出嘅企業 VPN (Virtual Private Network,VPN)服務存有安全漏洞,名單中更不乏大品牌,例如 Palo Alto 、Cisco、F5 Networks、Pulse Secure 等。以為企業級 VPN 就等於 100% 安全?咪傻喇。

平民百姓用 VPN ,無非都係為咗翻牆或藏匿自己嘅數碼足跡;而企業用 VPN ,好多時都係為咗方便遠端員工安全地存取企業網絡中嘅資料。雖然由大公司推出嘅企業級 VPN 好似安全好多,不過, CERT 日前就打破呢個美麗嘅誤會,公布多家大品牌推出嘅 VPN 存在安全漏洞,並且將漏洞編為 CVE-2019-1573 及 CVE-2016-8201。

漏洞嘅出現,全因未有將存放喺記憶體或記錄檔案中嘅認證資訊或期間嘅 cookie 加密,黑客可以透過 XSS 等攻擊方法,讀取目標電腦或上網裝置嘅 cookie,咁就可以攞到入面嘅身份認證資料,進而入侵受害目標嘅電腦裝置。

CERT 指出呢一個配置(漏洞)普遍存在於幾個 VPN 應用服務內,目前已確定受影響嘅包括有 Palo Alto Networks 嘅 GlobalProtect Agent、Pulse Secure 嘅 Connect Secure、F5 Networks,以及Cisco 嘅 AnyConnect。而 Palo Alto Networks 最抵讚,至今只有佢哋提供更新檔案,修補相關漏洞。

此漏洞極有可能喺其他 VPN 出現,大家要密切留意喇。

資料來源:https://bit.ly/2Gon3kt

相關文章:【沒有免費午餐】1/5 免費 VPN 未必安全!