NSKPSA-2022-001

Security Advisory ID: NSKPSA-2022-001
Severity Rating: High
First Communicated: Mar 21, 2022
Overall CVSS Score: 8.4
Version: 1.0

Description
Netskope Client é afetado por uma vulnerabilidade em que um invasor local autenticado pode visualizar informações confidenciais armazenadas em logs NSClient que deveriam ser restritos. A vulnerabilidade existe porque as informações confidenciais não são mascaradas/eliminadas antes de serem gravadas nos logs. Um usuário mal-intencionado pode usar informações confidenciais para baixar dados e se passar por outro usuário.
CWE-532: Inserção de informações confidenciais em arquivo de log

Affected Product(s) and Version(s)
Netskope Client vR91 and Prior

CVE-ID(s)
CVE-2021-44862

Remediation
A Netskope corrigiu essa vulnerabilidade e lançou uma nova versão. Recomenda-se que todos
os clientes atualizem seus NSClients para a versão mais recente. Para fazer o download da
versão mais recente, consulte as instruções de download em Download Netskope Client and Scripts - Netskope Support.

Referência Netskope
https://support.netskope.com/s/article/NSKPSA-2022-001-Netskope-Security-Advisory-Sensitive-information-in-audit-logs.

Workaround
Não há soluções alternativas para esta vulnerabilidade além da atualização para a versão mais recente.

General Security Best Practices
Siga as configurações seguras de locatário para aprimorar a segurança dos locatários listadas em https://support.netskope.com/s/article/Secure-Tenant-Configuration.

Special Notes and Acknowledgement
A Netskope dá os créditos a Ben O'Dea e Josh Wilson, do IAG Australia, por relatarem esta vulnerabilidade.

Exploitation and Public Disclosures
Netskope is not aware of any public exploitation or disclosures before this date.

Revision History

Versão	Data	Section	Notes
1.0	Mar 21, 2022		Initial Disclosure

Contrato
Na extensão máxima permitida pela lei aplicável, as informações fornecidas neste aviso são fornecidas “como estão”, sem garantia de qualquer tipo. O uso das informações contidas neste aviso ou dos materiais aqui vinculados é por sua conta e risco. Este aviso e todos os aspectos da Política de Resposta a Incidentes de Segurança de Produtos da Netskope estão sujeitos a alterações sem aviso prévio. A resposta não é garantida para qualquer questão ou classe de questões específica. Seus direitos relativos a garantias, suporte e manutenção, incluindo vulnerabilidades em qualquer software ou serviço da Netskope, são regidos exclusivamente pelo contrato principal aplicável entre a Netskope e você. As declarações neste aviso não modificam, ampliam ou de outra forma alteram qualquer um dos seus direitos sob o contrato principal aplicável, nem criam quaisquer garantias ou compromissos adicionais.