Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es

15/04/2020

Vulnerabilitats en productes de Palo Alto Networks

S’han publicat múltiples vulnerabilitats de criticitat alta.

Un atacant podria escalar privilegis, accedir com a root, executar codi, sobreescriure arxius del sistema i/o provocar denegació del servei.

La majoria de vulnerabilitats estan enfocades al software del client Windows i Linux (agents):

• CVE-2020-1984Secdo: podría permetre a un usuari local, autenticat, accedir a l’arrel del disc del sistema operatiu (C:\).
• CVE-2020-1985 Secdo: permisos incorrectes permeten als usuaris autenticats locals sobreescriure arxius i obtindre privilegis escalats.
• CVE-2020-1989 GlobalProtect Agent: un problema d’assignació de privilegis en escriure arxius específics permet l’escalada de privilegis locals.
• CVE-2020-1991 Traps: un problema d’arxiu temporal insegur permet obtindre privilegis elevats o sobreescriure arxius.

També destaquem les que afecten el mateix Firewall:

• CVE-2020-1990 PAN-OS: permet a un usuari remot executar codi arbitrari en el sistema de destí.
• CVE-2020-1992 PAN-OS: en la sèrie PA-7000. Permet a un atacant remot executar codi arbitrari en el sistema de destí.

Sistemes Afectats:

• PAN-OS: versions anteriors a la 8.1.13 i la 9.0.7 en les sèries PA-7000 amb LFC; no afecta a PAN-OS 7.1.
  
• Secdo: totes les versions per a Windows.
• GlobalProtect Agent: versions anteriors a la 5.0.8 i la 5.1.1 per a Linux ARM.
• Traps: versions anteriors a la 5.0.8 i la 6.1.4 per a Windows.

Referències:

CVE-2020-1990, CVE-2020-1992, CVE-2020-1984, CVE-2020-1985, CVE-2020-1989, CVE-2020-1991

Solució:

• Actualitzar a PAN-OS 8.1.13, 9.0.7, 9.1.2 o versions posteriors.
• Actualitzar a GlobalProtect Agent 5.0.8, 5.1.1 o versions posteriors.
• Actualitzar a Traps 5.0.8, 6.1.4 o versions posteriors.
• Secdo manca de suport. Els problemes poden ser completament mitigats:

1. Assegurant que els usuaris sense privilegis no tinguen accés a "crear carpeta" en l’arrel del sistema d’arxius com ara C:\ o en una carpeta denominada C:\Common.
2. Canviant el permís en la carpeta C:\N-Programdata\N-Secdo\N-Logs per a no permetre l’accés a usuaris sense privilegis.

Notes:

CSIRT-CV