Palo Alto Networks je objavio sigurnosna ažuriranja kako bi riješila pet sigurnosnih nedostataka koji utiču na njene proizvode, uključujući kritičnu grešku koja bi mogla dovesti do zaobilaženja autentifikacije.
Katalogizovana kao CVE-2024-5910 (CVSS rezultat: 9,3), ranjivost je opisana kao slučaj propuštanja autentifikacije u alatu za migraciju Expedition koji bi mogao dovesti do preuzimanja administratorskog računa.
“Nedostatak autentifikacije za kritičnu funkciju u Palo Alto Networks Expedition-u može dovesti do preuzimanja naloga administratora Expeditiona za napadače s mrežnim pristupom Expedition-u,” navodi kompanija u savjetovanju. “Tajne konfiguracije, krendencijali i drugi podaci uvezeni u Expedition su u opasnosti zbog ovog problema.”
Greška utiče na sve verzije Expedition-a prije verzije 1.2.92, što otklanja problem. Brian Hysell iz Synopsys Cybersecurity Research Center (CyRC) je zaslužan za otkrivanje i prijavljivanje problema.
Iako nema dokaza da je ranjivost iskorištena u prirodi, korisnicima se savjetuje da ažuriraju na najnoviju verziju kako bi se zaštitili od potencijalnih prijetnji.
Kao zaobilazno rješenje, Palo Alto Networks preporučuje da se mrežni pristup Expeditionu ograniči na ovlaštene korisnike, hostove ili mreže.
Američka firma za cyber sigurnost takođe je popravila novootkrivenu grešku u RADIUS protokolu pod nazivom BlastRADIUS (CVE-2024-3596) koja bi mogla omogućiti lošem hakeru sa sposobnostima da izvede napad protivnik u sredini (AitM) između Palo Alta Mreže PAN-OS firewall i RADIUS server za izbjegavanje autentifikacije.
Ranjivost tada dozvoljava napadaču da “eskalira privilegije na ‘superkorisnika’ kada je RADIUS autentifikacija u upotrebi i bilo CHAP ili PAP je odabran u profilu RADIUS servera”, navodi se .
Sljedeći proizvodi su pogođeni nedostacima:
- PAN-OS 11.1 (verzije < 11.1.3, popravljeno u >= 11.1.3)
- PAN-OS 11.0 (verzije < 11.0.4-h4, popravljeno u >= 11.0.4-h4)
- PAN-OS 10.2 (verzije < 10.2.10, popravljeno u >= 10.2.10)
- PAN-OS 10.1 (verzije < 10.1.14, popravljeno u >= 10.1.14)
- PAN-OS 9.1 (verzije < 9.1.19, popravljeno u >= 9.1.19)
- Prisma Access (sve verzije, popravak se očekuje 30. jula)
Takođe je napomenulo da se ni CHAP ni PAP ne smiju koristiti osim ako nisu inkapsulirani šifriranim tanelom jer protokoli za autentifikaciju ne nude sigurnost transportnog sloja (TLS). Oni nisu ranjivi u slučajevima kada se koriste u kombinaciji sa TLS tanelom.
Međutim, vrijedno je napomenuti da PAN-OS firewalls konfigurisani da koriste EAP-TTLS sa PAP-om kao protokolom za provjeru autentičnosti za RADIUS server takođe nisu podložni napadu.
Izvor:The Hacker News