複数のVPN製品に、正規ユーザになりすまされる脆弱性(JVN) | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2019.06.25(火)

複数のVPN製品に、正規ユーザになりすまされる脆弱性(JVN)

IPAおよびJPCERT/CCは、複数のVPNアプリケーションに、認証やセッション管理に用いられるcookieをメモリやログファイルに不適切に保存する問題が存在すると「JVN」で発表した。

脆弱性と脅威 セキュリティホール・脆弱性
独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は4月12日、複数のVPN(Virtual Private Network)アプリケーションに、認証やセッション管理に用いられるcookieをメモリやログファイルに不適切に保存する問題が存在すると「Japan Vulnerability Notes(JVN)」で発表した。CVSS v3によるBase Scoreは7.9。

JVNによると、
・Palo Alto Networks GlobalProtect Agent 4.1.0 for Windows(CVE-2019-1573)
・Palo Alto Networks GlobalProtect Agent 4.1.10 for macOS およびそれ以前(CVE-2019-1573)
・Pulse Secure Connect Secure 8.1R14, 8.2, 8.3R6, および 9.0R2 より前
これらは、cookieをメモリとログファイルに不適切に保存する。

・Cisco AnyConnect 4.7.x 系およびそれ以前
これらは、cookieをメモリに不適切に保存する。

これらのVPNアプリケーションでは、認証やセッション管理に用いられるcookieをメモリやログファイルに不適切に保存する、センシティブなデータを暗号化しない問題(CVE-2019-1573)が存在する。これにより、Cookieを取得可能な第三者によって、リプレイ攻撃による正規ユーザへのなりすましが行われる可能性がある。JVNでは、Palo Alto製品については開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。なお、これ以外は現時点で対策方法は公開されていない。

《吉澤 亨史( Kouji Yoshizawa )》

関連記事

PageTop

特集

アクセスランキング

  1. モリサワフォント不正使用、和解に市場流通価格上回る約1,100万円支払(ACCS)

    モリサワフォント不正使用、和解に市場流通価格上回る約1,100万円支払(ACCS)

  2. ランサムウェア被害、プライドを捨て財布を開く時期? - 調査会社提言(The Register)

    ランサムウェア被害、プライドを捨て財布を開く時期? - 調査会社提言(The Register)

  3. パスワードリスト攻撃による不正ログイン、カード不正利用確認(イオン銀行、イオンクレジットサービス)

    パスワードリスト攻撃による不正ログイン、カード不正利用確認(イオン銀行、イオンクレジットサービス)

  4. 脆弱性のあるリモートデスクトップサービスを探索するアクセスが増加(警察庁)

    脆弱性のあるリモートデスクトップサービスを探索するアクセスが増加(警察庁)

  5. 「Apache Tomcat」に、DoS攻撃を受ける脆弱性(JVN)

    「Apache Tomcat」に、DoS攻撃を受ける脆弱性(JVN)

  6. LinuxおよびFreeBSDカーネルに、DoS攻撃を受ける複数の脆弱性(JVN)

    LinuxおよびFreeBSDカーネルに、DoS攻撃を受ける複数の脆弱性(JVN)

  7. 「Firefox」にクラッシュを引き起こされる脆弱性、攻撃も確認(JPCERT/CC)

    「Firefox」にクラッシュを引き起こされる脆弱性、攻撃も確認(JPCERT/CC)

  8. アジア・パシフィックISLA、米川敦氏ら日本人3名が受賞((ISC)2)

    アジア・パシフィックISLA、米川敦氏ら日本人3名が受賞((ISC)2)

  9. LAN内の“無管理のIoT機器”をリスト化、個人は無償で利用可能(アズビル セキュリティフライデー)

    LAN内の“無管理のIoT機器”をリスト化、個人は無償で利用可能(アズビル セキュリティフライデー)

  10. 世界のサイバーインテリジェンスサミット開催(マキナレコード)

    世界のサイバーインテリジェンスサミット開催(マキナレコード)

ランキングをもっと見る