Security Advisory ID: NSKPSA-2022-001
Severity Rating: High
First Communicated: Mar 21, 2022
Overall CVSS Score: 8.4
Version: 1.0
Description
Netskope Client é afetado por uma vulnerabilidade em que um invasor local autenticado pode visualizar informações confidenciais armazenadas em logs NSClient que deveriam ser restritos. A vulnerabilidade existe porque as informações confidenciais não são mascaradas/eliminadas antes de serem gravadas nos logs. Um usuário mal-intencionado pode usar informações confidenciais para baixar dados e se passar por outro usuário.
CWE-532: Inserção de informações confidenciais em arquivo de log
Affected Product(s) and Version(s)
Netskope Client vR91 and Prior
CVE-ID(s)
CVE-2021-44862
Remediation
Netskope has patched this vulnerability and released a new version. All customers
are recommended to upgrade their NSClients to the latest version. To download
latest version, please refer to download Instructions at Download Netskope Client and Scripts – Netskope Support.
Referência Netskope
https://support.netskope.com/s/article/NSKPSA-2022-001-Netskope-Security-Advisory-Sensitive-information-in-audit-logs.
Workaround
Não há soluções alternativas para esta vulnerabilidade além da atualização para a versão mais recente.
General Security Best Practices
Siga as configurações seguras de locatário para aprimorar a segurança dos locatários listadas em https://support.netskope.com/s/article/Secure-Tenant-Configuration.
Special Notes and Acknowledgement
A Netskope dá os créditos a Ben O'Dea e Josh Wilson, do IAG Australia, por relatarem esta vulnerabilidade.
Exploitation and Public Disclosures
Netskope is not aware of any public exploitation or disclosures before this date.
Revision History
Versão | Data | Section | Notes |
---|---|---|---|
1.0 | Mar 21, 2022 | Initial Disclosure |
Contrato
Na extensão máxima permitida pela lei aplicável, as informações fornecidas neste aviso são fornecidas “como estão”, sem garantia de qualquer tipo. O uso das informações contidas neste aviso ou dos materiais aqui vinculados é por sua conta e risco. Este aviso e todos os aspectos da Política de Resposta a Incidentes de Segurança de Produtos da Netskope estão sujeitos a alterações sem aviso prévio. A resposta não é garantida para qualquer questão ou classe de questões específica. Seus direitos relativos a garantias, suporte e manutenção, incluindo vulnerabilidades em qualquer software ou serviço da Netskope, são regidos exclusivamente pelo contrato principal aplicável entre a Netskope e você. As declarações neste aviso não modificam, ampliam ou de outra forma alteram qualquer um dos seus direitos sob o contrato principal aplicável, nem criam quaisquer garantias ou compromissos adicionais.