Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

複数「VPNアプリ」に「Cookie」窃取されるおそれ - 一部ベンダーは反論

複数の「VPNアプリケーション」で、「Cookie」を安全に格納しない問題が存在するとしてセキュリティ機関が注意を呼びかけている。一部ベンダーは脆弱性と認めておらず、反論している。

複数ベンダーのVPN製品で、認証やセッションの管理に用いる「Cookie」をメモリやログへ不適切に保存する問題が明らかとなったもの。窃取されると「なりすまし」に悪用されるおそれがある。

Palo Alto Networksが「Windows」や「macOS」向けに提供するVPNクライアント「Palo Alto Networks GlobalProtect Agent」で明らかとなったほか、Pulse Secureの「Pulse Connect Secure」やF5 Networksの製品についても同様の問題が指摘されている。

Palo Alto Networksでは、脆弱性「CVE-2019-1573」として対処。アップデートとなる「GlobalProtect Agent 4.1.1」をリリースした。それ以外のベンダーに関しては、1月に通知済みだが修正方法などの説明はないという。

(Security NEXT - 2019/04/15 ) このエントリーをはてなブックマークに追加

PR

関連記事

Zyxel製品の深刻な脆弱性、4月に修正済み - 報告者がサイレントパッチの危険性を指摘
一部Facebook連携で別人より個人情報が閲覧可能に - アート販売サイト
メール誤送信、住民のメールアドレスが流出 - 佐那河内村
メールで個人情報含む表計算ファイルを誤送信 - 東京都レクリエーション協会
住民票や戸籍証明の請求書が箱ごと所在不明に - 静岡市
「BIG-IP」脆弱性に注意 - 実証コード公開済み、探索や悪用も
患者情報含む私物PC、電車へ置き忘れ紛失 - 順天堂医院
ブラザー会員サイトで不正ログイン、P交換被害も - 3月末からアクセス急増
「Chrome 101.0.4951.64」がリリース - 13件のセキュリティ修正を実施
コロナの自宅療養証明書を異なる住所へ誤発送 - 静岡県