L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) lundi ajoutée une faille de sécurité affectant Palo Alto Networks PAN-OS à son Catalogue des vulnérabilités exploitées connuessur la base de preuves d’exploitation active.
La vulnérabilité de haute gravité, suivie comme CVE-2022-0028 (score CVSS : 8,6), est une mauvaise configuration de la politique de filtrage d’URL qui pourrait permettre à un attaquant distant non authentifié de mener des attaques par déni de service (DoS) TCP réfléchies et amplifiées.
« S’il était exploité, ce problème n’aurait aucune incidence sur la confidentialité, l’intégrité ou la disponibilité de nos produits », a déclaré Palo Alto Networks dans une alerte. « Cependant, l’attaque par déni de service (DoS) qui en résulte peut aider à masquer l’identité de l’attaquant et impliquer le pare-feu comme source de l’attaque.
La faiblesse affecte les versions de produit suivantes et a été corrigée dans le cadre des mises à jour publiées ce mois-ci :
- Pan OS 10.2 (version < 10.2.2-h2)
- Pan OS 10.1 (version < 10.1.6-h6)
- Pan OS 10.0 (version < 10.0.11-h1)
- Pan OS 9.1 (version < 9.1.14-h4)
- PAN-OS 9.0 (version < 9.0.16-h3) et
- Pan OS 8.1 (version < 8.1.23-h1)
Le fabricant d’équipements réseau a déclaré avoir découvert la vulnérabilité après avoir été informé que des pare-feu sensibles de différents fournisseurs, y compris Palo Alto Networks, étaient utilisés dans le cadre d’une tentative d’attaque par déni de service réfléchi (RDoS).
À la lumière de l’exploitation active, les clients des produits concernés sont invités à appliquer les correctifs appropriés pour atténuer les menaces potentielles. Les agences du Pouvoir exécutif civil fédéral (FCEB) sont mandatées pour mettre à jour la dernière version d’ici le 12 septembre 2022.