WatchGuard Mobile VPN with SSL Client làm lộ credential VPN qua loopback cleartext

Lỗ hổng truyền thông tin nhạy cảm dưới dạng cleartext trong WatchGuard Mobile VPN with SSL client cho Windows cho phép kẻ tấn công cục bộ có khả năng thu thập loopback traffic lấy được username và password VPN của người dùng.

• WatchGuard Mobile VPN with SSL Client cho Windows: bị ảnh hưởng từ version 12.0 đến các version nhỏ hơn 2026.4 theo semver.
• Advisory của WatchGuard liệt kê version 2026.4 trở lên là không bị ảnh hưởng.
• Bằng chứng được xem xét chỉ xác định nhánh sản phẩm Windows này; không có nhánh sản phẩm bổ sung nào được nêu.

Thành phần bị ảnh hưởng là Mobile VPN with SSL Client trên Windows và loại điểm yếu là CWE-319. Advisory của WatchGuard mô tả đường truyền bị lộ là một local management socket; bản ghi cho biết credential được truyền qua loopback traffic dưới dạng cleartext. Ở mức khái quát, khi client xử lý thông tin đăng nhập VPN, một process cục bộ có khả năng thu thập phiên loopback có thể đọc trực tiếp username và password. Điều kiện khai thác là attacker phải có quyền truy cập cục bộ và khả năng capture loopback traffic; đánh giá có cấu trúc trong bản ghi mô tả yêu cầu quyền ở mức thấp và không cần user interaction. Bằng chứng hiện có không nêu tên socket, định dạng message, phương thức capture cụ thể hoặc liệu dữ liệu cục bộ nào khác có bị lộ hay không.

Đây là lỗi có khả năng bị khai thác từ local endpoint, không phải một đường tấn công remote độc lập. Attacker cần khả năng capture loopback traffic trên máy chạy client; đánh giá có cấu trúc mô tả attack complexity thấp, yêu cầu quyền thấp và không cần user interaction. WatchGuard cho biết họ chưa nhận thấy việc khai thác lỗ hổng này trong thực tế. Bản ghi được cung cấp không đánh dấu lỗ hổng là known exploited và không xác định public exploit; các trạng thái này không chứng minh rằng việc khai thác là không thể.

Kết quả kỹ thuật trực tiếp là disclosure username và password VPN cho một attacker cục bộ. Các credential này có thể dẫn đến xác thực VPN trái phép nếu còn hợp lệ, nhưng bản ghi không chứng minh việc truy cập mạng nội bộ, chiếm quyền tài khoản hoặc lạm dụng quyền sau xác thực đã xảy ra. Đánh giá được cung cấp xác định tác động cao đến tính bí mật và không xác định tác động đến tính toàn vẹn hoặc tính sẵn sàng. Phạm vi tác động bị giới hạn bởi yêu cầu attacker phải có local access và khả năng capture loopback traffic.

Việc khai thác thành công làm lộ username và password VPN cho attacker cục bộ. Credential bị đánh cắp có thể được dùng để xác thực VPN trái phép nếu vẫn còn hiệu lực và không bị ngăn bởi MFA, chính sách tài khoản hoặc các biện pháp kiểm soát truy cập khác; bằng chứng hiện có không xác nhận đã xảy ra truy cập vào mạng nội bộ hay chiếm quyền tài khoản. Tổ chức có thể phải xử lý credential, phiên VPN và hoạt động đăng nhập liên quan nếu nghi ngờ endpoint đã bị theo dõi. Tác động trực tiếp được xác định là mất tính bí mật của thông tin xác thực, không phải thay đổi dữ liệu hoặc làm gián đoạn dịch vụ.

1. Nâng cấp WatchGuard Mobile VPN with SSL Client trên các endpoint bị ảnh hưởng lên version 2026.4. WatchGuard liệt kê version 2026.4 trở lên là không bị ảnh hưởng.
2. Ưu tiên xử lý các endpoint có local user không tin cậy, đang dùng để kết nối VPN hoặc có nguy cơ bị cài process giám sát traffic.
3. Nếu có khả năng credential đã bị capture, cân nhắc thay đổi password VPN và rà soát hoặc thu hồi các phiên VPN theo quy trình quản lý tài khoản của tổ chức.
4. Advisory được xem xét không nêu workaround riêng. Không nên coi việc hạn chế giám sát hoặc không phát hiện log bất thường là biện pháp thay thế cho việc nâng cấp.

1. Lập inventory các Windows endpoint đang cài Mobile VPN with SSL Client và kiểm tra version thực tế của client.
2. Xác định các endpoint nằm trong nhánh bị ảnh hưởng, sau đó ưu tiên những máy đang được dùng để đăng nhập VPN hoặc có nhiều local user không tin cậy.
3. Nếu có telemetry phù hợp, rà soát dấu hiệu một process cục bộ thu thập loopback traffic trong thời điểm client xử lý thông tin đăng nhập VPN. Đây là biện pháp giám sát phòng ngừa, không phải IOC được WatchGuard xác nhận.
4. Nếu nghi ngờ credential đã bị thu thập, rà soát VPN authentication logs và các phiên đăng nhập bất thường theo quy trình điều tra của tổ chức. Advisory không công bố log event hoặc indicator cụ thể, vì vậy không nên xem việc không có log đáng ngờ là bằng chứng hệ thống an toàn.