Palo Alto PAN-OS の脆弱性 CVE-2022-0030 が FIX：認証バイパスの恐れ

Palo Alto Networks fixed a high-severity auth bypass flaw in PAN-OS

2022/10/15 SecurityAffairs — Palo Alto Networks は、PAN-OS 8.1 に影響する深刻な認証バイパスの脆弱性 CVE-2022-0030 (CVSS：8.1) に対処するセキュリティ・パッチをリリースした。Palo Alto Networks はアドバイザリで、「Palo Alto Networks PAN-OS 8.1 の Web インターフェイスに、認証バイパスの脆弱性が存在する。この脆弱性により、同社の Firewall／Panorama アプライアンスに対して、特定の知識を持つネットワーク・ベースの攻撃者が、既存の PAN-OS 管理者になりすました操作が可能になる」と述べている。

影響を受けるバージョンは下記の通り：

VERSIONSAFFECTEDUNAFFECTED
Cloud NGFWNoneAll
PAN-OS 10.2NoneAll
PAN-OS 10.1NoneAll
PAN-OS 10.0NoneAll
PAN-OS 9.1NoneAll
PAN-OS 9.0NoneAll
PAN-OS 8.1< 8.1.24>= 8.1.24
Prisma AccessNoneAll

この脆弱性は、PAN-OS 8.1.24 以降のバージョンで対処されたが、PAN-OS 8.1 が EOL (End of Life) に達したことも、同社は指摘している。したがって、Firewall PA-200／PA-500／PA-5000 シリーズと、M-100 アプライアンスについても、EOL に達するまでのサポートになる。

Palo Alto Networks は、この脆弱性が悪用された事例は把握していないとしている。

脆弱性 CVE-2022-37913／CVE-2022-37914 の悪用に成功した、未認証かつリモートの攻撃者は、対象システムの管理者権限を取得することが可能になる。この脆弱性については、10月11日にアドバイザリが公開されている。

また、同アドバイザリでは、Orchestrator 製品群に影響をおよぼす、未認証の攻撃者によるリモート・コード実行の脆弱性 CVE-2022-37915 についても、Aruba のユーザーに通知している。

同社は、「Aruba EdgeConnect Enterprise Orchestrator の Web ベースの管理インターフェイスに存在する脆弱性により、認証されていないリモートの攻撃者が、基盤となるホスト上で任意のコマンドを実行する可能性がある。この脆弱性の悪用に成功した攻撃者は、基盤となる OS 上で任意のコマンドを実行し、システムの完全な侵害を達成する可能性がある」と述べている。

Palo Alto Networks の PAN-OS 8.1 における、認証バイパスの脆弱性とのことです。NVD でも Palo Alto Networks のデータが使用され (4/21 現在) 、CVSS 値は 8.1 となっています。今年に入ってからの同社のトピックとしては、4月7日の「Palo Alto Networks の Firewall／VPN に OpenSSL の脆弱性が影響をおよぼす」と、8月12日の「Palo Alto Networks 警告：PAN-OS に DDoS 攻撃参加を許す脆弱性 CVE-2022-0028」があります。よろしければ、Palo Alto で検索も、ご利用ください。