Palo Alto Networks naprawiło dziewięć luk w swoim systemie operacyjnym PAN-OS dla wersji od 8.1 wzwyż.
Oceny CVSS (Common Vulnerability Scoring System) naprawionych podatności wahały się od wysokiego poziomu 9,8 do niskiego 3,3. Cyberprzestępcy nie wykorzystali żadnej z luk. Badacze cyberbezpieczeństwa z Tenable and Positive Technologies opublikowali porady, dzięki którym klienci Palo Alto dowiedzieli się o zaistniałych problemach z bezpieczeństwem. Dzięki temu specjaliści od bezpieczeństwa IT mogli odpowiednio zareagować na zagrożenia.
Według badaczy z Positive Technologies atakujący mogą wykorzystać luki w celu uzyskania dostępu do poufnych danych lub opracować atak w celu uzyskania dostępu do wewnętrznych segmentów sieci, w której działają urządzenia z podatnościami.
Satnam Narang, specjalista ds. badań w firmie Tenable, powiedział, że luka oceniona na 9.8 CVSS była szczególnie niepokojąca, ponieważ napastnik mógł ją wykorzystać, aby dostać się do urządzenia z pominięciem autoryzacji.
Zobacz w praktyce – webinarium
Jak przygotować miarodajne testy UTM? Szybka konfiguracja i raportowanie.
Problem z przepełnieniem bufora w Palo Alto stwarzał największe zagrożenie
W nowej podatności Palo Alto najpoważniejszy jest problem przepełnienia bufora. Może on być wykorzystany przez nieautoryzowanego napastnika do zakłócenia procesów systemowych i ewentualnie do wywołania dowolnego kodu z uprawnieniami roota.
Luka, śledzona jako CVE-2020-2040, może być wykorzystana poprzez wysyłanie specjalnie spreparowanych żądań do interfejsu Multi-Factor Authentication (MFA) lub Captive Portal.
“Nie zachęcamy do rezygnacji z używania wieloczynnikowego uwierzytelniania. Chcemy, aby klienci Palo Alto byli świadomi istnienia luki i tego, że powinni załatać swoje systemy” – powiedział Satnam Narang. “Zwracamy na to uwagę, ponieważ wiemy, że istnieje wiele organizacji, które nie planują natychmiastowej naprawy tych luk”.
Lukę z wynikiem 9,8 odkrył sam dostawca. Patch opublikowano zanim luka Palo Alto została wykorzystana w praktyce.
źródło: Securityaffairs
Redaktorka Net Complex Blog
