Une vulnérabilité sur différentes solutions VPN stockant de façon non sécurisée des cookies de session

Software Engineering Institute a publié un bulletin de sécurité sur une vulnérabilité affectant plusieurs acteurs majeurs des solutions VPN. Un VPN (Vitual Private Network) est utilisé afin d'établir une connexion sécurisée entre deux réseaux à travers Internet.

Le Software Engineering Institute (SEI) est un centre de recherche et de développement américain basé à Pittsburgh, en Pennsylvanie. Ses activités couvrent la cybersécurité, l'assurance logicielle, l'ingénierie et l'acquisition de logiciels, ainsi que des composants critiques pour le Département de la défense.

La vulnérabilité, considérée comme critique, a un impact élevé sur la disponibilité, l'intégrité et la confidentialité des données. En effet, l'exploitation de la vulnérabilité peut être réalisée à distance, ne nécessite ni privilège, ni interaction avec un utilisateur et se révèle simple à mettre en œuvre.

Les solutions mentionnées ci-après, impactées par la vulnérabilité, stockent de façon non sécurisée les informations d'authentification ou/et les cookies de session en mémoire ou dans des fichiers de journaux (logs) : 

• Stockage non sécurisé des cookies dans des fichiers de journaux (logs) : 
  • Palo Alto Networks GlobalProtect Agent, version 4.1.0 sur Windows, et, les versions 4.1.10 et antérieures sur macOS (CVE-2019-1573)
  • Pulse Secure Connect Secure les versions antérieures à la 8.1R14, 8.2, 8.3R6, et 9.0R2

• Stockage non sécurisé des cookies en mémoire :
  • Palo Alto Networks GlobalProtect Agent version 4.1.0 sur Windows, et, les versions 4.1.10 et antérieures sur macOS (CVE-2019-1573)
  • Pulse Secure Connect Secure les versions antérieures à la 8.1R14, 8.2, 8.3R6, et 9.0R2
  • Cisco AnyConnect les versions 4.7.x et antérieures

Détails Techniques :

La vulnérabilité est référencée comme suit :

• CVE-2019-1573 [CVSS V3 9.8] : Si un attaquant obtient un accès physique au périphérique VPN d'un utilisateur ou parvient à extraire le cookie de sessions en utilisant d'autres méthodes, il peut rejouer la session et contourner les autres méthodes d'authentification. Un attaquant aurait alors accès aux mêmes applications que l'utilisateur à travers sa session VPN.