L’entreprise de cybersécurité Randori essuie des critiques pour ne pas avoir informé Palo Alto Networks pendant des mois au sujet de deux vulnérabilités sérieuses trouvées dans un produit RPV.
Le délai a été révélé la semaine dernière quand Randori, fournisseur de tests à la demande de systèmes pour aider à trouver et à réparer leurs vulnérabilités (red teaming), basé à Denver, a publié un rapport sur la façon dont il a trouvé deux vulnérabilités dans des pare-feu en utilisant des anciennes versions du réseau privé virtuel (RPV) GlobalProtect Portal de Palo Alto Networks.
Ensemble, ces vulnérabilités peuvent permettre à une personne malveillante de perturber les processus du système, ainsi que d’exécuter du code avec des privilèges racines. Un attaquant doit avoir un accès réseau à l’interface GlobalProtect pour exploiter ce problème.
Habituellement, les entreprises comme Randori révèlent des détails sur la façon dont elles ont trouvé des bogues après que le fournisseur-client ait publié un correctif. Palo Alto Networks a publié des correctifs mercredi le 10 novembre.
Les vulnérabilités sont classées comme étant critiques et le correctif doit être installé immédiatement sur les installations qui utilisent les versions PAN-OS 8.1.17 et antérieures. La version actuelle du système d’exploitation est 10.1.
Lire aussi :
Des dirigeants trouvent leur entreprise trop complexe pour être bien protégée
Complexité et cybersécurité ne font pas bon ménage
Sécurité informatique : ne pas perdre de vue l’hygiène de base
