Palo Alto Networks PAN-OS 8.1.x/9.0.x/9.1.x/10.0.x 不當輸入驗證

low Nessus Plugin ID 141350

語系：

概要

遠端 PAN-OS 主機受到一個弱點影響

說明

遠端主機上執行的 Palo Alto Networks PAN-OS 版本為 8.1.x、9.0.x、9.1.x 或 10.0.x 版。
因此會受到一個不當輸入驗證弱點影響。

- 當 SSL/TLS 正向代理伺服器解密模式設定為解密 Web 交易時，PAN-OS URL 篩選功能會針對解密後 HTTPS Web 交易的原則執行檢查 HTTP 主機和 URL 路徑標頭，但不會考量 TLS Client Hello 交握內的伺服器名稱指示 (SNI) 欄位。這可讓受保護網路中易遭入侵的主機規避在正向代理伺服器模式中在使用 SSL 解密設定之防火牆上使用 URL 篩選的任何安全性原則。然後，惡意執行者可利用此技術，規避易遭入侵的主機和遠端惡意伺服器之間 TLS 交握階段的通訊偵測。此技術不會增加主機在網路中遭到入侵的風險，也不會影響防火牆的機密性或可用性。業界認為，這對防火牆的完整性影響不大，因為防火牆無法對本應封鎖的特定流量強制執行原則。此問題不會影響純文字或加密 Web 交易的 URL 篩選原則的強制執行。只有在惡意攻擊者入侵受保護網路中的主機，並針對攻擊者控制的流量啟用 TLS/SSL 解密功能後，才能使用此技術。Palo Alto Networks 並未發現任何使用此技術洩漏資料的惡意軟體。此問題適用於目前所有的 PAN-OS 版本。
(CVE-2020-2035)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。