Palo Alto corrige la vulnérabilité Zero-Day dans le produit de pare-feu

Des collègues chercheurs en sécurité ont découvert une vulnérabilité dans les pare-feu PanOS produits par Palo Alto Networks. L'équipe de recherche qui a découvert la vulnérabilité travaille avec la société de sécurité Randori.

L'équipe Randori a développé une méthodologie et un exploit actif qui leur ont permis d'obtenir des capacités d'exécution de code à distance sur la plate-forme de pare-feu Palo Alto. La vulnérabilité a été codifiée et cataloguée comme CVE 2021-3064 et a reçu un indice de gravité extrêmement élevé de 9,8 sur un maximum de 10 points.

Même si on croyait initialement que la vulnérabilité permettait l'exécution de code à distance sur plusieurs versions de PanOS de Palo Alto, Palo Alto a précisé plus tard que la vulnérabilité n'affectait que PanOS 8.1 et plus spécifiquement, les versions antérieures à 8.1.17.

Le nombre approximatif de systèmes concernés a également été réduit d'une estimation initiale inexacte de 70 000 à environ 10 000 appareils, après que Palo Alto a fourni les informations supplémentaires.

La vulnérabilité a maintenant été corrigée par Palo Alto et la nouvelle mise à jour devrait être entièrement déployée et appliquée dans les 30 prochains jours. Après cette période, Randori fournira une divulgation plus complète sur la nature de la vulnérabilité corrigée.

Jusqu'à présent, les chercheurs ont révélé que la vulnérabilité permet l'exécution de code au niveau du shell et abuse d'un état de dépassement de mémoire tampon qui se produit lorsque le système analyse les entrées de l'utilisateur dans une partie spécifique de la pile mémoire. Avant qu'un acteur potentiel de la menace puisse exploiter cela, il devrait d'abord recourir à la contrebande HTTP. C'est le seul moyen d'accéder à la vulnérabilité de débordement de tampon exploitable.

Randori publiera très probablement tous les détails et le code spécifique utilisé dans la construction de l'exploit une fois que les utilisateurs auront eu le temps de mettre à jour leurs configurations.

November 11, 2021

Cyclonis Backup

The Free Basic Cyclonis Backup plan gives you 2 GB of cloud storage space with full functionality! No credit card required. Need more storage space? Purchase a larger Cyclonis Backup plan today! To learn more about our policies and pricing, see Terms of Service, Privacy Policy, Discount Terms and Purchase Page. If you wish to uninstall the app, please visit the Uninstallation Instructions page.

Cyclonis Password Manager

FREE Trial: 30-Day One-Time Offer! No credit card required for Free Trial. Full functionality for the length of the Free Trial. (Full functionality after Free Trial requires subscription purchase.) To learn more about our policies and pricing, see EULA, Privacy Policy, Discount Terms and Purchase Page. If you wish to uninstall the app, please visit the Uninstallation Instructions page.