Palo Alto phát hành bản vá cho lỗ hổng DoS PAN-OS — Cập nhật ngay lập tức
Palo Alto Networks đã tiết lộ một lỗ hổng nghiêm trọng ảnh hưởng đến phần mềm PAN-OS có thể gây ra tình trạng từ chối dịch vụ (DoS) trên các thiết bị dễ bị tấn công.
Lỗi này được theo dõi là CVE-2024-3393 (điểm CVSS: 8,7), ảnh hưởng đến PAN-OS phiên bản 10.X và 11.X, cũng như Prisma Access chạy PAN-OS phiên bản 10.2.8 trở lên hoặc trước 11.2.3. Lỗi này đã được giải quyết trong PAN-OS 10.1.14-h8, PAN-OS 10.2.10-h12, PAN-OS 11.1.5, PAN-OS 11.2.3 và tất cả các phiên bản PAN-OS sau đó.
"Một lỗ hổng từ chối dịch vụ trong tính năng Bảo mật DNS của phần mềm PAN-OS của Palo Alto Networks cho phép kẻ tấn công chưa xác thực gửi một gói tin độc hại qua mặt phẳng dữ liệu của tường lửa để khởi động lại tường lửa", công ty cho biết trong một thông báo vào thứ sáu.
"Nhiều lần cố gắng kích hoạt tình trạng này sẽ khiến tường lửa chuyển sang chế độ bảo trì."
Palo Alto Networks cho biết họ đã phát hiện ra lỗ hổng trong quá trình sử dụng sản xuất và họ biết rằng khách hàng "gặp phải tình trạng từ chối dịch vụ (DoS) khi tường lửa của họ chặn các gói DNS độc hại gây ra sự cố này".
Hiện tại, mức độ hoạt động vẫn chưa được biết. Hacker News đã liên hệ với Palo Alto Networks để xin thêm bình luận và chúng tôi sẽ cập nhật câu chuyện nếu nhận được phản hồi.
Cần lưu ý rằng tường lửa có bật tính năng ghi nhật ký Bảo mật DNS bị ảnh hưởng bởi CVE-2024-3393. Hơn nữa, mức độ nghiêm trọng của lỗi giảm xuống điểm CVSS là 7,1 khi quyền truy cập chỉ được cung cấp cho người dùng cuối đã xác thực thông qua Prisma Access.
Các bản sửa lỗi cũng đã được mở rộng sang các bản phát hành bảo trì thường được triển khai khác -
- PAN-OS 11.1 (11.1.2-h16, 11.1.3-h13, 11.1.4-h7 và 11.1.5)
- PAN-OS 10.2 (10.2.8-h19, 10.2.9-h19, 10.2.10-h12, 10.2.11-h10, 10.2.12-h4, 10.2.13-h2 và 10.2.14)
- PAN-OS 10.1 (10.1.14-h8 và 10.1.15)
- PAN-OS 10.2.9-h19 và 10.2.10-h12 (chỉ áp dụng cho Prisma Access)
- PAN-OS 11.0 (Không có bản sửa lỗi vì nó sẽ kết thúc vòng đời vào ngày 17 tháng 11 năm 2024)
Để giải quyết tạm thời và giảm thiểu các tường lửa không được quản lý hoặc được quản lý bởi Panorama, khách hàng có tùy chọn đặt Mức độ nghiêm trọng của nhật ký thành "không" cho tất cả các danh mục Bảo mật DNS được cấu hình cho từng cấu hình Chống phần mềm gián điệp bằng cách điều hướng đến Đối tượng > Cấu hình bảo mật > Chống phần mềm gián điệp > (chọn một cấu hình) > Chính sách DNS > Bảo mật DNS.
Đối với tường lửa do Strata Cloud Manager (SCM) quản lý, người dùng có thể làm theo các bước trên để tắt ghi nhật ký Bảo mật DNS trực tiếp trên từng thiết bị hoặc trên tất cả các thiết bị bằng cách mở trường hợp hỗ trợ. Đối với người thuê Prisma Access do SCM quản lý, bạn nên mở trường hợp hỗ trợ để tắt ghi nhật ký cho đến khi thực hiện nâng cấp.