搜索

[15551] 2020-06-30_PANOS操作系统曝“10分”罕见漏洞，需立即修复

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-18
2020-06-30_PANOS操作系统曝“10分”罕见漏洞，需立即修复 P A N   O S 操 作 系 统 曝 “ 1 0 分 ” 罕 见 漏 洞 ， 需 立 即 修 复 k i r a z h o u   F r e e B u f   2 0 2 0 - 0 6 - 3 0 今 天 ， 美 国 网 络 司 令 部 发 布 今 天 ， 美 国 网 络 司 令 部 发 布 T w i t t e r ： ： “ 请 立 即 修 补 受 请 立 即 修 补 受 C V E - 2 0 2 0 - 2 0 2 1 影 响 的 所 有 设 备 ， 尤 其 是 在 使 用 影 响 的 所 有 设 备 ， 尤 其 是 在 使 用 S A M L 的 的 情 况 下 。 情 况 下 。 ” P A N - O S 是 一 个 运 行 在 P a l o   A l t o   N e t w o r k s 防 火 墙 和 企 业 V P N 设 备 上 的 操 作 系 统 ， 该 操 作 系 统 被 披 露 存 在 严 重 安 全 漏 洞 ： C V E - 2 0 2 0 - 2 0 2 1 。 特 殊 的 是 ， 这 是 一 个 罕 见 地 在 C V S S   v 3 漏 洞 严 重 等 级 中 获 得 满 分 1 0 分 的 安 全 漏 洞 。 1 0 分 ， 从 危 害 程 度 上 来 说 ， 意 味 着 该 漏 洞 不 仅 易 于 利 用 ， 不 需 要 攻 击 者 具 备 高 级 技 术 技 能 ， 而 且 还 可 以 通 过 网 络 进 行 远 程 利 用 ， 无 需 攻 击 者 具 备 对 目 标 设 备 的 初 步 了 解 。 从 技 术 上 来 说 ， 这 是 一 个 身 份 验 证 绕 过 漏 洞 ， 允 许 攻 击 者 无 需 提 供 有 效 凭 据 即 可 访 问 设 备 。 该 漏 洞 一 旦 被 利 用 ， 攻 击 者 就 可 以 更 改 P A N   O S 的 设 置 和 功 能 。 尽 管 更 改 操 作 系 统 功 能 似 乎 影 响 不 大 ， 但 该 漏 洞 实 际 上 可 用 于 禁 用 防 火 墙 或 V P N 访 问 控 制 策 略 ， 从 而 禁 用 整 个 P A N - O S 设 备 。 漏 洞 影 响 漏 洞 影 响 P A N - O S 设 备 必 须 处 于 特 定 配 置 中 （ 禁 用 “ 验 证 身 份 提 供 者 证 书 ” 选 项 并 且 启 用 S A M L ） ， 该 漏 洞 才 能 被 利 用 。
然 而 ， 在 一 些 供 应 商 手 册 上 ， 指 示 了 P A N - O S 所 有 者 在 使 用 第 三 方 身 份 提 供 程 序 时 设 置 这 种 特 定 的 配 置 ， 例 如 在 P A N - O S 设 备 上 使 用 D u o 身 份 验 证 ， 或 C e n t r i f y 、 T r u s o n a 、 O k t a 的 第 三 方 身 份 验 证 解 决 方 案 。 目 前 ， 企 业 和 政 府 部 门 中 就 广 泛 使 用 了 D u o 身 份 验 证 。 支 持 这 两 个 选 项 的 易 遭 到 攻 击 的 设 备 包 括 以 下 ： G l o b a l P r o t e c t 网 关 G l o b a l P r o t e c t 门 户 G l o b a l P r o t e c t C l i e n t l e s s   V P N A u t h e n t i c a t i o n   a n d   C a p t i v e   P o r t a l P A N - O S 下 一 代 防 火 墙 （ P A 系 列 ， V M 系 列 ） 和 P a n o r a m a   W e b 界 面 P r i s m a   A c c e s s   系 统 已 知 可 运 行 C V E - 2 0 2 0 - 2 0 2 1 的 易 受 攻 击 的 P A N   O S 列 表 ： 缓 解 措 施 缓 解 措 施
既 然 P A N - O S 设 备 必 须 处 于 特 定 配 置 中 ， 该 漏 洞 才 能 被 利 用 。 因 此 ， 只 要 这 些 设 备 在 2 个 设 置 中 依 然 保 持 默 认 状 态 ， 不 手 动 配 置 “ 禁 用 ‘ 验 证 身 份 提 供 者 证 书 ’ 选 项 并 且 启 用 S A M L ” ， 那 么 安 全 性 可 以 得 到 一 定 的 保 障 。 最 后 ， 该 漏 洞 还 引 发 了 对 于 A P T 攻 击 的 担 忧 ， 在 T w i t t e r 上 出 现 的 一 些 言 论 都 倾 向 该 漏 洞 很 可 能 被 民 族 国 家 的 黑 客 组 织 利 用 发 起 攻 击 。 因 此 ， 建 议 企 业 立 即 对 已 有 的 P A N - O S 设 备 实 施 漏 洞 缓 解 措 施 。 * 本 文 作 者 ： 本 文 作 者 ： k i r a z h o u ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理