PAN-OS: Panorama認証バイパスの脆弱性

この認証バイパス脆弱性は、攻撃者がPanoramaの管理インターフェースへのネットワークアクセスを確立した場合、管理対象ファイアウォールへの特権アクセスを容易に取得することを可能にします。攻撃者は、この特権アクセスを利用して、ファイアウォールの設定を変更したり、機密情報を盗んだり、さらにはネットワーク全体に横展開を行う可能性があります。特に、Panoramaを介して管理されている複数のファイアウォールが存在する場合、この脆弱性の影響範囲は広大になる可能性があります。この脆弱性は、Log4Shellのような脆弱性と同様に、ネットワークインフラストラクチャ全体に深刻な影響を与える可能性があります。

Organizations heavily reliant on Palo Alto Networks firewalls and Panorama for centralized management are particularly at risk. Environments with legacy PAN-OS versions (8.0 and earlier) and those lacking robust network segmentation are also highly vulnerable. Shared hosting environments utilizing Palo Alto firewalls should be especially vigilant, as they may be affected by vulnerabilities in the underlying infrastructure.

• paloalto / firewall:

Get-PanEvent | Where-Object {$_.type -eq "authentication" -and $_.severity -eq "critical"}

• paloalto / firewall:

Get-PanDevice | Where-Object {$_.version -lt "9.0.6"}

• paloalto / firewall:

Get-PanLog | Where-Object {$_.category -eq "system" -and $_.message -like "*context switching*"}

1. 2020-05-13Disclosure

   disclosure

2. 2020-05-13Patch

   patch

1. 予約済み2019-12-04
2. 公開日2020-05-13
3. 更新日2024-09-16
4. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対策は、影響を受けるPAN-OSバージョンを9.0.6以降にアップグレードすることです。アップグレードが一時的にシステムを不安定にする可能性がある場合は、事前にバックアップを作成し、テスト環境でアップグレードを検証することを推奨します。アップグレードが不可能な場合は、Panoramaと管理対象デバイス間の通信にカスタム証明書認証を使用することで、この脆弱性の影響を軽減できます。また、WAFやプロキシサーバーを使用して、Panoramaの管理インターフェースへの不正なアクセスをブロックすることも有効です。攻撃者の侵入を検知するために、ログ監視を強化し、異常なアクティビティを検出するためのアラートを設定することも重要です。