VPN爱好者
作者VPN爱好者2011-11-18 09:10
专业技术支持人员, 大游索易

Clientless SSL VPN的漏洞预警 遭遇中间人攻击

字数 922阅读 4120评论 0赞 0
Clientless SSL VPN的漏洞预警 遭遇中间人攻击
 
Clientless SSL VPN能让雇员通过Web浏览器访问公司服务器,然而,美国计算机应急响应组织(US CERT)的预警指出,Clientless SSL VPN的使用可能会让用户遭受“中间人攻击”(man-in-the-middle attacks)。

    这一消息中列出了几十个受影响的SSL VPN品牌,其中包括:Cisco Systems、 Juniper、 3com等等。这一预警中称:Clientless SSL VPN破坏了基本的浏览器安全机制,攻击者能够使用这些设备来绕过身份认证或发起其他一些web攻击。

    这种SSL VPN的漏洞是很严重的,因为clientless VPN通常让用户可以访问内部的webmail服务器、内部的文件共享以及远程桌面功能,使攻击者能接触到公司的敏感数据。

    为达到攻击SSL VPN漏洞的目的,攻击者会瞄准某一特定域并诱使用户访问恶意的网页,这样以来攻击者就能够不分地域地通过clientless SSL VPN窃取到VPN会话令牌、读取或修改上面的信息。这一方式能让攻击者捕捉到受害者与网页交互数据时的按键记录。

    US CERT 说:“事实上,这将致使所有浏览器上统一的原始策略管制失效,因为所有的内容都运行在web VPN域的特权级别。提供基于域的内容管制的一些机制,例如IE安全区以及火狐的NoScript插件,将都有可能被黑客绕过。”

    目前还没有针对这一漏洞的补丁。这次的警报敦促管理员部署工作区,并同clientless VPN厂商一同检查产品的具体操作流程。管理员可以对URL改写成受信域的情形进行限制,配置VPN设备让其只接受特定网络域的访问,并关闭URL隐藏功能。

    这一漏洞是安全研究员David Warren和Ryan Giobbi在Michael Zalewski的帮助下发现的。

  
摘自红色黑客联盟(www.7747.net) 原文:http://www.7747.net/News/201001/43962.html

如果觉得我的文章对您有用,请点赞。您的支持将鼓励我继续创作!

0

添加新评论0 条评论

Ctrl+Enter 发表

作者其他文章

相关文章

相关问题

相关资料

X社区推广