Описание
Когда сервис VPN Windows запускается, он пытается загрузить файл конфигурации OpenSSL из несуществующего пути:
C:\Work\WinVPNClient\ThirdParty\openssl\openssl-3.1.1\VS2022\SSL64\openssl.cnf
Пользователь с низкими привилегиями может создать эту структуру каталогов для файла и добавить DLL, который будет загружен в память с помощью функции движка в файле конфигурации OpenSSL, при следующем запуске сервиса Cato VPN.
Серьезность
Оценка риска CVSSv3.1 составляет 8.8 (Высокий).
Какие изменения мне нужно сделать?
Используйте Панель управления пользователей SDP для выявления пользователей с версиями Клиента для Windows ниже 5.10.34. Убедитесь, что они обновлены до последней версии Клиента для Windows и получили последние обновления безопасности и улучшения.
Благодарности
Cato Networks благодарит AmberWolf за обнаружение и идентификацию проблемы. Полные технические детали можно найти в их публикации в блоге
Как это влияет на учетную запись?
Если вы не обновитесь до Клиента для Windows v5.10.34 или выше, устройства с более низкими версиями уязвимы. Насколько нам известно, ни одна из этих проблем не была использована в реальных условиях.
К кому мне обратиться, если у меня возникнут вопросы?
Пожалуйста, свяжитесь со Поддержка.