Scanners de vulnerabilidade de Rede, como o Nessus, podem reportar descobertas no Socket Cato que parecem indicar vulnerabilidades de Segurança. Em muitos casos, essas descobertas são falsos positivos ou recomendações genéricas de melhores práticas que não representam problemas exploráveis no Socket.
Este artigo explica os resultados comuns de varredura relatados para o Socket Cato e esclarece por que essas descobertas não representam um risco de Segurança quando o Socket é implantado com versões suportadas e proteções padrão.
Scanners de vulnerabilidade geralmente sinalizam portas abertas como possível exposição. O Socket intencionalmente expõe apenas as seguintes portas TCP:
- TCP 22 – Usado para Acesso à Nuvem SSH
- TCP 443 – Usado para Acesso à Nuvem HTTPS para a Interface Web do Socket
Nenhuma porta TCP adicional está aberta no Socket.
Este comportamento é por design e exigido para o gerenciamento seguro e operação do Socket.
Alguns scanners relatam problemas de Cross-Site Scripting (XSS) contra a Interface Web do Socket.
- Esses problemas são resolvidos na Versão do Socket 18 e superior
Scanners de vulnerabilidade frequentemente relatam CVEs relacionados ao OpenSSH com base na detecção de banner ou correspondência genérica de versão.
Antes de avaliar as descobertas relacionadas ao OpenSSH:
- Verificar a versão do OpenSSH relatada pelo scanner
- Confirmar a Versão do Socket em uso
A versão 19 do Socket usa OpenSSH 9.3p1. Em muitos casos, scanners sinalizam vulnerabilidades que se aplicam a versões mais antigas do OpenSSH e não são relevantes para esta versão.
Este CVE não é relevante para o Socket Cato
O Socket não usa o recurso vulnerável do OpenSSH necessário para explorar este problema
Scanners podem relatar cabeçalhos de segurança HTTP ausentes como vulnerabilidades.
Essas descobertas são recomendações gerais de Segurança, não vulnerabilidades do Socket.
- A Interface Web do Socket é uma interface de gerenciamento interna
- Ela não utiliza um Nome de Domínio Totalmente Qualificado (FQDN) público
- O cabeçalho Strict-Transport-Security não é aplicável neste contexto
Alguns scanners relatam que o atributo autocomplete está ativado para campos de senha.
- O achado não representa uma vulnerabilidade explorável no Socket
Scanners estão procurando pelo atributo autocomplete=off, que não está presente
Cifras TLS
Os Sockets anunciam essas cifras TLS que são vulnerabilidades conhecidas.
- TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
- TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
As preocupações relacionadas ao CBC afetam o TLS 1.0/SSL 3.0 e versões anteriores. Os Sockets usam TLS 1.2, que mitiga esses problemas, e AES-GCM é suportado e preferido
0 comentário
Artigo fechado para comentários.