[guru] Clientless VPN hibak
DATE: Tue, 05 Jan 2010 14:12:36 +0100
Több clientless VPN termék is súlyos biztonsági hibát tartalmaz: amikor
az URL-eket http://vpnszerver/www.foo.bar alakúra hozzák, akkor nem
figyeltek arra, hogy a javascript same origin policy védelmét ezzel
kikapcsolták. A támadó ezek után tetszőleges cookie-kat ellophat, vagy
monitorozhatja a billentyű leütéseket is és elküldheti a saját szerverre.
--- Begin Message ---
Vulnerabilities in several clientless SSL VPN products have been reported.
Gathering authentication cookies etc. is reportedly possible.
At time of writing US-CERT's advisory lists the status of about 90 vendors.
US-CERT Vulnerability Note VU#261869:
http://www.kb.cert.org/vuls/id/261869
Severity metric is remarkable high: 45,00.
This issue is CVE-2009-2631.
Juha-Matti
--- End Message ---