Alle overnevnte hadde oppdateringer som rettet opp i sårbarhetene innen mai i 2019, men åpne kilder viser at det globalt fortsatt er mange sårbare enheter eksponert mot internett [1].

NCSC ønsker å informere om at disse sårbarhetene globalt blir aktivt utnyttet, og at proof-of-concept (PoC) kode er tilgjengelig på internett (ref. HelseCERT sine referanser).

NCSC anbefaler alle å oppdatere produktene sine til nyeste versjon dersom dette allerede ikke er gjort.

Referanser:

  1. https://badpackets.net/over-14500-pulse-secure-vpn-endpoints-vulnerable-to-cve-2019-11510/

Kritiske sårbarheter i SSL VPN fra Palo

Alto, Pulse Secure og Fortinet. Sårbarhetene gir mulighet til å kjøre kode på VPN-mottaket, innlogging som administrator m.m.

I alle tilfellene er sikkerhetsoppdateringer gjort tilgjengelig for flere måneder siden.

I forbindelse med at sårbarhetene og utnyttelse av disse ble gjennomgått i detalj i en presentasjon [1] på Blackhat i forrige uke sendes det herved en kort oppsummering av sårbarhetene. For detaljer henviser vi
til presentasjonen og tilhørende bloggposter.

Sårbare og fiksede versjoner
 

Palo Alto [2]

Sikkerhetsoppdatering klar fra juli 2018. Sårbare versjoner:

  • Palo Alto GlobalProtect SSL VPN 7.1.x < 7.1.19
  • Palo Alto GlobalProtect SSL VPN 8.0.x < 8.0.12
  • Palo Alto GlobalProtect SSL VPN 8.1.x < 8.1.3 

9.x og 7.0.x er ikke sårbare.

Fortigate [3]:

Sikkerhetsoppdatering implementert i Fortigate-versjonene 6.0.5 (mai 2019) og 6.2.0 (mars 2019). Noen av sårbarhetene ser ut til å være lukket i 5.x, mens andre ikke er det. Se advisories for de individuelle
sårbarhetene for detaljer.

Relevante advisories:

  • https://fortiguard.com/psirt/FG-IR-18-383
  • https://fortiguard.com/psirt/FG-IR-18-384
  • https://fortiguard.com/psirt/FG-IR-18-387
  • https://fortiguard.com/psirt/FG-IR-18-388
  • https://fortiguard.com/psirt/FG-IR-18-389

Pulse Secure [4]:

Sikkerhetsoppdatering klar fra april 2019. Listen under viser henholdsvis sårbare hovedversjoner og spesifikke versjoner hvor sårbarhetene er lukket:

  • Pulse Connect Secure 8.1RX: fikset i Pulse Connect Secure 8.1R15.1
  • Pulse Connect Secure 8.2RX: fikset i Pulse Connect Secure 8.2R12.1
  • Pulse Connect Secure 8.3RX: fikset i Pulse Connect Secure 8.3R7.1
  • Pulse Connect Secure 9.0RX: fikset i Pulse Connect Secure 9.0R3.4 & 9.0R4
  • Pulse Policy Secure 5.1RX: fikset i Pulse Policy Secure 5.1R15.1
  • Pulse Policy Secure 5.2RX: fikset i Pulse Policy Secure 5.2R12.1
  • Pulse Policy Secure 5.3RX: fikset i Pulse Policy Secure 5.3R12.1
  • Pulse Policy Secure 5.4RX: fikset i Pulse Policy Secure 5.4R7.1
  • Pulse Policy Secure 9.0RX: fikset i Pulse Policy Secure 9.0R3.2 & 9.0R4

Anbefaling

Hvis den enkelte virksomhet benytter SSL VPN og kjører sårbare versjoner bør man iverksette arbeid med oppdatering snarest.

Referanser:

  1. https://i.blackhat.com/USA-19/Wednesday/us-19-Tsai-Infiltrating-Corporate-Intranet-Like-NSA.pdf
  2. http://blog.orange.tw/2019/07/attacking-ssl-vpn-part-1-preauth-rce-on-palo-alto.html
  3. http://blog.orange.tw/2019/08/attacking-ssl-vpn-part-2-breaking-the-fortigate-ssl-vpn.html
  4. https://kb.pulsesecure.net/articles/Pulse_Security_Advisories/SA44101/