Aviatrix, fournisseur de réseaux privés virtuels pour les entreprises en source ouverte, dont les clients incluent BT, la NASA et Shell, a corrigé une grave vulnérabilité qui, en cas d’exploitation, pourrait donner à un attaquant des privilèges d’escalade sur un ordinateur auquel ils avaient déjà accès.
Le chercheur et ingénieur de contenu d'Immersive Labs, Alex Seymour, a découvert cette vulnérabilité après avoir remarqué que le client VPN de la société était particulièrement prolixe lors du démarrage sur une machine Linux.
La divulgation intervient à peine deux mois après que la NSA et le Conseil de sécurité nationale ont averti les organisations que des attaquants parrainés par l'État avaient commencé à cibler les vulnérabilités des réseaux privés virtuels. Dans un Dans un billet de blog annonçant sa découverte, Seymour a averti que les entreprises devraient installer le dernier correctif d'Aviatrix dès que possible, en déclarant:
«Juste après les avertissements des gouvernements britannique et américain sur les vulnérabilités des réseaux VPN, cela souligne que souvent, les technologies qui protègent les entreprises doivent être gérées aussi étroitement que leurs utilisateurs. Les gens ont tendance à penser que leur VPN est l’un des éléments les plus sécurisés de leur situation de sécurité, ce qui devrait donc être un peu un réveil pour le secteur. Les utilisateurs doivent installer le nouveau correctif le plus rapidement possible pour s'assurer qu'il n'y a pas d'exploitation à l'état sauvage. ”
Sommaire
Vulnérabilité VPN
La faille de sécurité découverte par Seymour affecte les versions Linux, macOS et FreeBSD du client Aviatrix, qui utilisent toutes les options -up et -down de la commande OpenVPN afin d’exécuter des scripts de shell lorsqu’une connexion VPN est établie ou interrompue.
En raison d'autorisations de fichier faibles définies sur le répertoire d'installation sous Linux et FreeBSD, un attaquant pourrait potentiellement modifier l'exécution de ces scripts avec des privilèges élevés lorsque le service backend exécutait la commande OpenVPN. Cela donnerait à un attaquant un accès aux fichiers, dossiers et services réseau s'exécutant sur une machine utilisant le VPN d'Aviatrix.
Selon Seymour, Aviatrix a pris sa divulgation très au sérieux et la société a travaillé en étroite collaboration avec Immersive Labs tout au long du processus de correction avant de publier un correctif pour le problème au début du mois de novembre.
Si votre organisation utilise actuellement le client VPN d'Aviatrix sous Linux, FreeBSD ou macOS, il est vivement recommandé d'appliquer immédiatement le correctif de l'entreprise pour éviter d'être victime d'une attaque par élévation de privilèges.
- Consultez également notre liste complète des meilleurs services VPN
Via Computer Weekly
