New Vulnerabilities in PAN OS (RCE & DoS)
CVE-2020-2040 – CVSS : 9.8
CVE-2020-2036 – CVSS : 8.8
CVE-2020-2041 – CVSS : 7.5
Sources
https://security.paloaltonetworks.com/CVE-2020-2040
https://security.paloaltonetworks.com/CVE-2020-2036
https://security.paloaltonetworks.com/CVE-2020-2041
Risques
Une vulnérabilité de débordement de mémoire tampon dans le pare-feu PAN-OS pourrait permettre à un acteur malveillant non authentifié de perturber le processus système. Par la suite, il pourrait exécuter du code arbitraire avec des privilèges administrateur en envoyant une requête spécialement conçue à l'interface Multi-Factor Authenticated.
L'interface de gestion web du PAN-OS est vulnérable au Cross-Site Scripting (XXS) et au déni de service (Dos).
La faille XXS dans l'interface de gestion web PAN-OS pourrait permettre à un acteur malveillant de convaincre un administrateur système avec une session authentifiée sur l'interface de gestion du pare-feu de cliquer sur un lien conçu à cet effet. en cas de succès, l'acteur malveillant peut alors exécuter du code JavaScript arbitraire dans le navigateur de l'administrateur et effectuer des actions administratives.
La vulnérabilité de DoS pourrait permettre à un utilisateur distant non authentifié d'envoyer une requête spécifiquement conçue au dispositif pour provoquer l'arrêt du service web de l'application.
Description
Ces failles de sécurité résident dans le logiciel de pare-feu PAN-OS et l'interface de gestion web PAN-OS.
La vulnérabilité de débordement de la mémoire tampon - CVE-2020-2040 est classée comme critique. Cette faille affecte toutes les versions du PAN-OS 8.0, les versions du PAN-OS 8.1 antérieures au PAN-OS 8.1.15, les versions du PAN-OS 9.0 antérieures au PAN-OS 9.0.9, les versions du PAN-OS 9.1 antérieures au PAN-OS 9.1.3. Une exploitation réussie de cette vulnérabilité pourrait permettre à un acteur malveillant de perturber le système et éventuellement d'exécuter du code arbitraire.
La vulnérabilité de Cross-Site-Scripting - CVE-2020-2036, affecte l'interface de gestion web des versions PAN-OS 8.1 antérieures à PAN-OS 8.1.16 et des versions PAN-OS 9.0 antérieures à PAN-OS 9.0.9
La vulnérabilité de déni de service (DoS) - CVE-2020-2041 affecte l'interface de gestion web du PAN-OS 8.1. Cette vulnérabilité pourrait permettre à un utilisateur distant non authentifié d'envoyer une requête spécifiquement conçue au dispositif qui provoque le blocage du service web. Des tentatives répétées d'envoi de cette requête entraînent un déni de service à tous les services PAN-OS en redémarrant le dispositif et en le mettant en mode maintenance.
Actions recommandées
CERT.be recommande aux administrateurs système de suivre les pratiques recommandées et d'appliquer les derniers correctifs publiés par le fournisseur dès que possible.
Veuillez-vous référer aux liens ci-dessous :
• https://security.paloaltonetworks.com/CVE-2020-2040
• https://security.paloaltonetworks.com/CVE-2020-2036
• https://security.paloaltonetworks.com/CVE-2020-2041
Références
https://securityaffairs.co/wordpress/108127/hacking/palo-alto-networks-p...