CVE-2020-2035

SSL/TLS Forward Proxy Decryption modu web işlemlerini şifre çözmek için yapılandırıldığında, PAN-OS URL filtreleme özelliği, şifresi çözülmüş HTTPS web işlemleri üzerinde politika uygulamak için HTTP Host ve URL yol başlıklarını denetler ancak TLS Client Hello el sıkışmasındaki Server Name Indication (SNI) alanını dikkate almaz. Bu durum, korunan bir ağdaki ele geçirilmiş bir ana bilgisayarın, Forward Proxy modunda SSL Decryption yapılandırılmış bir güvenlik duvarı üzerindeki URL filtreleme kullanan herhangi bir güvenlik politikasını atlatmasına olanak tanır. Kötü niyetli bir aktör daha sonra bu tekniği, ele geçirilmiş bir ana bilgisayar ile uzak kötü amaçlı bir sunucu arasındaki TLS el sıkışma aşamasındaki iletişimin tespit edilmesini engellemek için kullanabilir. Bu teknik, ağdaki bir ana bilgisayarın ele geçirilme riskini artırmaz. Bir güvenlik duvarının gizliliğini veya erişilebilirliğini etkilemez. Güvenlik duvarı, engellenmesi gereken belirli trafikler üzerinde politikayı uygulayamadığı için bunun, güvenlik duvarının bütünlüğü üzerinde düşük etkisi olduğu değerlendirilmektedir. Bu sorun, açık metin veya şifreli web işlemleri üzerindeki URL filtreleme politikası uygulamasını etkilemez. Bu teknik, yalnızca kötü niyetli bir aktör korunan ağdaki bir ana bilgisayarı ele geçirdikten ve saldırganın kontrol ettiği trafik için TLS/SSL Decryption özelliği etkinleştirildikten sonra kullanılabilir. Palo Alto Networks, veri sızdırmak için bu tekniği kullanan herhangi bir kötü amaçlı yazılımın farkında değildir. Bu sorun, PAN-OS'un tüm güncel sürümleri için geçerlidir. Bu sorun Panorama veya WF-500 cihazlarını etkilemez.