CVE-2020-1978

Yüksek kullanılabilirlik (HA) ile yapılandırılmış Microsoft Azure platformundaki Palo Alto Networks VM Series güvenlik duvarlarında oluşturulan TechSupport dosyaları, Azure dashboard servis hesabı kimlik bilgilerini yanlışlıkla toplamaktadır. Bu kimlik bilgileri, Azure'daki Contributor rolüyle ilişkili kimlik bilgilerine eşdeğerdir. Kimlik bilgilerine sahip bir kullanıcı, diğer kaynaklara erişim verme dışında abonelikteki tüm Azure kaynaklarını yönetebilecektir. Bu kimlik bilgileri, VM'lerin kendilerine giriş erişimi sağlamaz. Bu sorun, PAN-OS 9.0 için 1.0.9 öncesindeki VM Series Plugin sürümlerini etkilemektedir. Bu durum, HA olmayan yapılandırmalardaki VM Series'leri veya diğer bulut platformlarını etkilememektedir. Donanım güvenlik duvarı cihazlarını etkilemez. Sorunun fark edilmesinden itibaren Palo Alto Networks, kimlik bilgilerini içeren tüm teknik destek dosyalarını güvenli bir şekilde silmiştir. Artık bize gönderilen tüm TechSupport dosyalarındaki bu kimlik bilgilerini filtreleyip kaldırıyoruz. Palo Alto Networks sistemlerine yüklenen TechSupport dosyalarına yalnızca geçerli Palo Alto Networks kimlik bilgilerine sahip yetkili personel tarafından erişilebilmekteydi. Bu kimlik bilgilerinin kötü niyetli erişimine veya kullanımına dair herhangi bir kanıtımız bulunmamaktadır.