Palo Alto Networks PAN-OS 8.1.x/9.0.x/9.1.x/10.0.x 不適切な入力検証

low Nessus プラグイン ID 141350

Language:

概要

リモートの PAN-OS ホストは脆弱性の影響を受けます

説明

リモートホストで実行されているPalo Alto Networks PAN-OSのバージョンは、8.1.x、9.0.x、9.1.x、または10.0.xです。
したがって、不適切な入力検証の脆弱性の影響を受けます。

- SSL/TLS フォワードプロキシ復号化モードが Web トランザクションを復号化するように構成されている場合、PAN-OS の URL フィルタリング機能は、復号化された HTTPS Web トランザクションのポリシー実施に関して HTTP ホストと URL パスヘッダーを検査しますが、TLS Client Hello ハンドシェイク内の Server Name Indication (SNI) フィールドを考慮しません。これにより、保護されたネットワーク内の危険にさらされたホストが、フォワードプロキシモードで SSL 復号化を使用して構成されたファイヤーウォールで URL フィルタリングを使用するセキュリティポリシーを回避する可能性があります。悪意のある攻撃者は、この技術を使用して、危険にさらされたホストとリモートの悪意のあるサーバー間のTLSハンドシェイクフェーズでの通信の検出を回避できます。この技術を使用しても、ホストがネットワークで危険にさらされるリスクは増加しません。ファイヤーウォールの機密性や可用性には影響しません。ファイヤーウォールは、ブロックされるべき特定のトラフィックにポリシーを強制できないため、ファイヤーウォールの整合性への影響は小さいと考えられています。この問題は、平文または暗号化されたWebトランザクションのURLフィルタリングポリシー実施に影響を与えません。この技術は、悪意のある攻撃者が保護されたネットワーク内のホストを侵害し、攻撃者が制御するトラフィックでTLS/SSL復号化機能が有効になった後にのみ使用できます。Palo Alto Networksは、この技術を使用してデータを漏洩するマルウェアを認識していません。この問題は、PAN-OSの現在のすべてのバージョンに適用されます。
(CVE-2020-2035)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。