Des failles dans les VPN, mettent en péril les secrets d'entreprise.

 PUBLIC VISE : VPN ENTREPRISE

Les chercheurs ont découvert plusieurs failles de sécurité dans les VPN d’entreprises les plus populaires, qui pourraient, selon eux, être utilisées pour pénétrer en silence dans les réseaux d’entreprise et voler des secrets d’entreprise.

Les chercheurs de Devcore Orange Tsai et Meh Chang, qui ont partagé leurs découvertes avec TechCrunch avant leur prochain discours sur Black Hat , ont déclaré que les failles trouvées dans les trois fournisseurs de VPN d'entreprise - Palo Alto Networks, Pulse Secure et Fortinet - sont "faciles" à exploiter à distance.

Ces VPN - ou réseaux privés virtuels - ne sont pas vos applications VPN grand public traditionnelles conçues pour masquer votre identité, mais sont utilisées par le personnel travaillant à distance pour accéder aux ressources du réseau de l'entreprise. En règle générale, les employés doivent entrer leur nom d'utilisateur et leur mot de passe, ainsi qu'un code à deux facteurs. En se connectant via une connexion HTTPS (SSL), ces fournisseurs créent un tunnel sécurisé entre l'ordinateur de l'utilisateur et le réseau d'entreprise.

Mais Tsai et Chang ont déclaré que les bogues trouvés permettaient à quiconque de pénétrer discrètement dans le réseau d'une entreprise sans avoir besoin d'un nom d'utilisateur ou d'un mot de passe fonctionnel.

"Nous pourrions compromettre le serveur VPN et l'intranet de l'entreprise sans qu'une authentification soit requise, compromettre tous les clients VPN et voler tous les secrets des victimes", a déclaré Tsai à TechCrunch dans un courrier électronique.

«Le VPN SSL est le moyen le plus pratique de se connecter aux réseaux d’entreprise», a déclaré Tsai. «Par ailleurs, pour les pirates, le VPN SSL doit être exposé à Internet. Il s’agit donc du moyen le plus rapide de compromettre leur intranet.»

«Quelques fournisseurs de VPN SSL dominent le marché. Par conséquent, si nous découvrons une vulnérabilité de ces fournisseurs, l'impact est énorme», a-t-il déclaré.

Dans leur premier article décrivant en détail le bogue de Palo Alto, les chercheurs ont déclaré qu'une simple faille de format, telle que du texte saisi qui n'est pas bien compris par le serveur, suffit à faire planter le service. Plusieurs grandes entreprises utilisent le VPN GlobalProtect de Palo Alto, y compris Uber, ont-elles déclaré.

Les chercheurs ont testé le bogue sur l'un des serveurs internes Palo Alto d'Uber, ont-ils déclaré. Uber a rapidement résolu le problème, mais a déclaré que son infrastructure interne était sûre.

Les chercheurs ont également utilisé ces vulnérabilités pour révéler les failles des systèmes appartenant à Twitter, a déclaré Tsai. «Nous avons obtenu avec succès le privilège root sur le plus important serveur VPN de Twitter, ainsi que la plus grande sévérité et la plus grande prime de leur programme de primes», a-t-il déclaré.

Lorsque les chercheurs ont contacté Palo Alto en privé à propos des bogues, la société a déclaré que ceux-ci avaient déjà été «découverts en interne» et n’avait pas émis d’avis de sécurité publique correspondant. Après la rédaction de Tsai et Chang, certains ont critiqué la réponse de Palo Alto. Le chercheur en sécurité Kevin Beaumont a déclaré dans un tweet qu'il semblait que le géant de la sécurité avait publié un "correctif silencieux" pour ce "bug vraiment sérieux" sans alerter personne. Environ un tiers des boîtiers connectés à Internet qu'il a testés étaient vulnérables la semaine dernière, a-t- il tweeté .

Palo Alto a finalement publié un avis , un jour après que Tsai et Chang aient publié leur article de blog détaillant les bugs.

Fortinet a également publié des avis concernant leurs bogues respectifs et a mis à jour un nouveau micrologiciel pour corriger les vulnérabilités. Les administrateurs système sont invités à mettre à jour leurs passerelles vulnérables avec les dernières versions.

Le directeur du marketing de Pulse Secure, Scott Gordon, a déclaré que la société avait informé ses clients de la vulnérabilité et du correctif disponible fin avril. Gordon a déclaré que l'entreprise n'était "pas au courant" de tout exploit.

Palo Alto a reconnu avoir corrigé les bugs mais n'a pas adressé les critiques de la communauté de la sécurité.

Un porte-parole de Fortinet n'a pas commenté avant sa publication.

C'est la dernière série de bugs liés aux VPN cette année. En avril, Homeland Security a mis en garde les entreprises contre une flambée de vulnérabilitésdans de nombreux grands fournisseurs de réseaux privés virtuels (Corporate), affectant également Palo Alto et Pulse Secure, ainsi que Cisco et F5 Networks.

Tsai et Chang devraient publier les détails des failles de Pulse Secure et de Fortinet dans les prochains jours.

Source :techcrunch

---***---