Múltiples aplicaciones VPN permiten a los atacantes saltarse la autenticación

RECOMENDADOS: Tecnologías que dan al dato el protagonismo que merece (WEBINAR)  Cinco retos de la innovación en cloud Informe IT Trends 2019: La realidad digital de la empresa española Mejores prácticas para implementar una plataforma ágil Robo de credenciales: prioriza la seguridad de tus apps Instalación de Redes WiFi y LAN en Hoteles

De acuerdo a una alerta emitida por CISA y el CERT Coordination Center, las aplicaciones VPN empresariales desarrolladas por Palo Alto Networks, Pulse Secure, Cisco y F5 Networks almacenan cookies de autenticación y de sesión de forma insegura, lo que potencialmente permite a los atacantes saltarse la autenticación. De acuerdo con la nota de informática del CERT/CC, "es probable que esta configuración sea genérica para aplicaciones VPN adicionales", lo que significa que cientos de aplicaciones VPN de un total de 237 proveedores pueden verse afectadas por esta vulnerabilidad de divulgación de información.

Que una aplicación no pueda cifrar información sensible o crítica antes del almacenamiento o la transmisión podría permitir a los posibles atacantes interceptar datos de tráfico, leerlos e inyectar código o datos malintencionados para realizar un ataque Man-in-the-Middle. La alerta también establece que un "atacante potencial podría aprovechar esta vulnerabilidad para tomar el control de un sistema afectado".

Si bien se encontró que las aplicaciones VPN de Check Point Software Technologies y pfSense no eran vulnerables, Cisco y Pulse Secure aún no han emitido ninguna información sobre esta vulnerabilidad. Palo Alto Networks publicó un aviso de seguridad con más información sobre esta vulnerabilidad de divulgación de información rastreada como CVE-2019-1573, y publicó GlobalProtect Agent 4.1.1 y versiones posteriores para Windows y GlobalProtect Agent 4.1.11 y versiones posteriores para las actualizaciones de seguridad de macOS.

F5 Networks, por otro lado, recomienda usar factor de autenticación de dos factores, en lugar de autenticación basada en contraseña, para mitigar esta vulnerabilidad.