CVE-2020-2021

Security Assertion Markup Language (SAML) autentifikasiyası aktiv olduqda və 'Validate Identity Provider Certificate' seçimi deaktiv edildikdə (işarələnmədikdə), PAN-OS SAML autentifikasiyasında imzaların yanlış yoxlanılması autentifikasiya olunmamış şəbəkə əsaslı hücumçunun qorunan resurslara daxil olmasına imkan verir. Bu zəifliyi istismar etmək üçün hücumçu həssas serverə şəbəkə girişi olmalıdır. Bu problem PAN-OS 9.1.3 versiyasından əvvəlki PAN-OS 9.1 versiyalarına; PAN-OS 9.0.9 versiyasından əvvəlki PAN-OS 9.0 versiyalarına; PAN-OS 8.1.15 versiyasından əvvəlki PAN-OS 8.1 versiyalarına və bütün PAN-OS 8.0 (EOL) versiyalarına təsir göstərir. Bu problem PAN-OS 7.1-ə təsir etmir. Əgər autentifikasiya üçün SAML istifadə edilmirsə, bu problem istismar edilə bilməz. SAML Identity Provider Server Profile-da 'Validate Identity Provider Certificate' seçimi aktivdirsə (işarələnibsə), bu problem istismar edilə bilməz. SAML əsaslı vahid giriş (SSO) autentifikasiyası ilə qoruna bilən resurslar bunlardır: GlobalProtect Gateway, GlobalProtect Portal, GlobalProtect Clientless VPN, Authentication and Captive Portal, PAN-OS növbəti nəsil firewall-ları (PA-Series, VM-Series) və Panorama veb interfeysləri, Prisma Access. GlobalProtect Gateways, GlobalProtect Portal, Clientless VPN, Captive Portal və Prisma Access hallarında, təyin edilmiş autentifikasiya və Təhlükəsizlik siyasətləri tərəfindən icazə verildiyi təqdirdə, təsirlənmiş serverlərə şəbəkə girişi olan autentifikasiya olunmamış hücumçu qorunan resurslara daxil ola bilər. Gateway, portal və ya VPN serverinin bütövlüyünə və əlçatanlığına heç bir təsir göstərmir. Hücumçu adi istifadəçilərin sessiyalarını yoxlaya və ya onlara müdaxilə edə bilməz. Ən pis halda, bu, CVSS baza balı 10.0 olan kritik dərəcəli zəiflikdir (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N). PAN-OS və Panorama veb interfeysləri hallarında, bu problem PAN-OS və ya Panorama veb interfeyslərinə şəbəkə girişi olan autentifikasiya olunmamış hücumçuya administrator kimi daxil olmağa və inzibati hərəkətlər yerinə yetirməyə imkan verir. Ən pis ssenaridə, bu, CVSS baza balı 10.0 olan kritik dərəcəli zəiflikdir (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Əgər veb interfeyslər yalnız məhdudlaşdırılmış idarəetmə şəbəkəsi vasitəsilə əlçatandırsa, problemin CVSS baza balı 9.6-ya endirilir (CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Palo Alto Networks bu zəifliyi istismar etmək üçün hər hansı zərərli cəhdlərdən xəbərdar deyil.