[ad_1]
Cette semaine, Palo Alto Networks a informé ses clients qu’il avait corrigé plus de deux douzaines de vulnérabilités dans PAN-OS, le logiciel qui s’exécute sur les pare-feu de nouvelle génération de l’entreprise.
L’un des plus graves défauts est CVE-2020-2018, qui a un score CVSS de 9, et qui permet à un attaquant ayant accès à l’interface du système de gestion Panorama d’avoir un accès privilégié aux pare-feu gérés. Ce problème de contournement de l’authentification affecte la fonctionnalité de changement de contexte Panorama, et le fournisseur affirme que l’exploitation «nécessite une certaine connaissance des pare-feu gérés».
Un autre problème potentiellement grave est CVE-2020-2012, une vulnérabilité XXE de gravité élevée qui permet à un attaquant distant et non authentifié ayant accès à l’interface Panorama de lire des fichiers arbitraires du système.
Une autre faille de gravité élevée, CVE-2020-2011, permet à un attaquant distant non authentifié de provoquer un déni de service (DoS) sur tous les services Panorama en envoyant des demandes d’enregistrement spécialement conçues.
Une grave vulnérabilité de script intersite (XSS) affectant le VPN sans client GlobalProtect peut permettre à un attaquant de compromettre la session d’un utilisateur en l’obligeant à visiter un site Web malveillant.
Certaines anciennes vulnérabilités affectant la version précédente de Nginx incluses dans PAN-OS peuvent également être exploitées sans authentification, y compris certaines qui ont été jugées très sévères.
Les dernières versions de PAN-OS corrigent également des vulnérabilités de haute gravité qui peuvent être exploitées pour augmenter les privilèges, exécuter des commandes shell ou du code avec des autorisations root, détourner …
Voir la source de cette publication
[ad_2]
