Palo Alto met en garde contre une vulnérabilité dans GlobalProtect, laquelle permet des connexions VPN non autorisées aux réseaux d’entreprise.
La vulnérabilité dans GlobalProtect est connue de Palo Alto depuis le 13 mai. Le spécialiste de la sécurité a déployé une mise à jour, mais l’affaire ne s’est pas arrêtée là. Son homologue Rapid7 a alerté Palo Alto sur le fait que la vulnérabilité est activement exploitée. Palo Alto relaie cet avertissement et le niveau de gravité a été relevé de « moyen » à « élevé ».
GlobalProtect est une solution de passerelle VPN qui gère l’accès aux réseaux d’entreprise. La vulnérabilité permet à des attaquants de contourner l’authentification à l’aide de cookies falsifiés. Le système déchiffre les cookies pour déterminer si leur contenu est fiable.
Le revers de la médaille
Après un contournement, l’attaquant peut obtenir une clé HTTPS, ce qui amène GlobalProtect à considérer les cookies comme légitimes. Cela permet de se connecter sans authentification supplémentaire au réseau que GlobalProtect est censé surveiller. Rapid7 propose dans un blog une analyse technique plus approfondie des exploits que l’entreprise a également rencontrés sur le terrain.
Étant donné que la vulnérabilité est activement exploitée, il est recommandé d’installer les dernières mises à jour de sécurité pour GlobalProtect dès que possible. Sans une protection adéquate, la porte de votre réseau d’entreprise reste tout simplement ouverte. Rapid7 conseille en outre de vérifier minutieusement votre configuration de GlobalProtect. Plus tôt cette année, la solution a également été indirectement impliquée dans une vulnérabilité qui a rendu les pare-feu de Palo Alto inutilisables.
De nombreuses entreprises utilisent encore aujourd’hui un VPN pour surveiller leur réseau. Cependant, les experts avertissent que cette technologie est dépassée. Des erreurs d’obsolescence ou de configuration rendent les connexions moins sûres que vous ne le pensez. Par conséquent, ne vous fiez pas uniquement à un VPN pour sécuriser votre réseau d’entreprise.