Una recente vulnerabilità riscontrata in PAN-OS di Palo Alto Networks è stata aggiunta al catalogo delle vulnerabilità sfruttabili note della Cybersecurity and Infrastructure Security Agency (CISA) statunitense.
Il problema di sicurezza è un rischio ad alta gravità identificato come CVE-2022-0028 che consente a un attore remoto di distribuire attacchi denial-of-service (DoS) riflessi e amplificati senza dover effettuare l’autenticazione.
Diverse versioni di PAN-OS che alimentano i dispositivi PA-Series, VM-Series e CN-Series sono vulnerabili a CVE-2022-0028 e Palo Alto Networks ha rilasciato le patch per tutte.
Nuova banda di estorsori “Donut Leaks” collegata ai recenti attacchi ransomware
Sebbene lo sfruttamento della falla possa causare solo una condizione DoS sul dispositivo interessato, è già stato utilizzato per almeno un attacco. In un avviso di sicurezza del 12 agosto, Palo Alto Networks afferma di essere venuta a conoscenza del problema dopo aver ricevuto un avviso relativo a un tentativo di attacco RDoS (reflected denial-of-service) attraverso uno dei suoi prodotti.
Secondo il fornitore, una minaccia che sfrutta il problema potrebbe nascondere il proprio indirizzo IP originale, rendendo più difficile la bonifica. Il CISA sta avvertendo le agenzie federali che devono applicare le correzioni disponibili entro il 9 settembre e utilizza la seguente sintesi per descriverlo:
- Un’errata configurazione dei criteri di filtraggio degli URL di Palo Alto Networks PAN-OS potrebbe consentire a un aggressore basato sulla rete di condurre attacchi TCP denial-of-service (RDoS) riflessi e amplificati.
- Palo Alto Networks ritiene che CVE-2022-0028 sia sfruttabile solo in determinate condizioni, che non rientrano nella configurazione comune del firewall:
- Il criterio di sicurezza del firewall che consente il passaggio del traffico dalla zona A alla zona B include un profilo di filtraggio degli URL con una o più categorie bloccate.
La protezione dagli attacchi basati sui pacchetti non è abilitata in un profilo di protezione della zona A, compresi sia (Protezione dagli attacchi basati sui pacchetti > TCP Drop > TCP Syn With Data) che (Protezione dagli attacchi basati sui pacchetti > TCP Drop > Strip TCP Options > TCP Fast Open). La protezione da flood tramite cookie SYN non è abilitata in un profilo di protezione di zona per la zona A (Protezione da flood > SYN > Azione > Cookie SYN) con una soglia di attivazione di 0 connessioni.
