Bulletin d'alerte du CERT-FR

Json

Objet : Vulnérabilité dans Palo Alto Networks PAN-OS

Gestion du document

Référence	CERTFR-2020-ALE-014
Titre	Vulnérabilité dans Palo Alto Networks PAN-OS
Date de la première version	03 juillet 2020
Date de la dernière version	31 juillet 2020
Source(s)	Avis CERT-FR CERTFR-2020-AVI-398 du 29 juin 2020 Bulletin de sécurité Palo Alto Networks CVE-2020-2021 du 29 juin 2020

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Contournement de la politique de sécurité

Systèmes affectés

PAN-OS versions 8.x antérieures à 8.1.15
PAN-OS versions 9.0.x antérieures à 9.0.9
PAN-OS versions 9.1.x antérieures à 9.1.3

Résumé

Le 29 juin 2020, Palo Alto Networks a publié un avis de sécurité concernant la vulnérabilité CVE-2020-2021.

Cette vulnérabilité permet de contourner le système d’authentification sur plusieurs de ses produits lorsque le mode d’authentification Security Assertion Markup Language (SAML) est activé.

Dans le protocole SAML, on rencontre trois types d'entités:

l'utilisateur, ou le commettant (principal) ;
le service (service provider) ;
le fournisseur d'identité (identity provider)

Le fournisseur d'identité sert de tiers de confiance entre l'utilisateur et le service et permet de vérifier les identités et les autorisations de chacun.

L'autorisation délivrée par le fournisseur d'identité est communiquée au service sous la forme d'un document XML signé par le fournisseur d'identité.

Ici, la vulnérabilité se trouve dans le mécanisme de vérification de la signature par le service (Palo Alto Networks). Un attaquant non-authentifié peut forger une autorisation que le service acceptera comme ayant été validée par le fournisseur d'identité. Il pourra ainsi s'authentifier de manière frauduleuse et obtenir les mêmes droits que la personne pour laquelle il se fait passer.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Contournement provisoire

Si le mode d'authentification SAML n'est pas activé, la vulnérabilité ne peut être exploitée.

Si l'option de vérification de certificats est activée ("Validate Identity Provider Certificate"), la vulnérabilité ne peut être exploitée mais cela requiert que le fournisseur d'identité dispose d'un certificat signé par une autorité de certification. La vérification de certificats n'est pas une obligation dans le protocole SAML, d'ailleurs tous les fournisseurs ne prévoient pas cette possibilité.

Le CERT-FR recommande donc l'application des mises à jour dans les plus brefs délais.

Documentation

Avis CERT-FR CERTFR-2020-AVI-398 du 29 juin 2020
/avis/CERTFR-2020-AVI-398/
Bulletin de sécurité Palo Alto Networks CVE-2020-2021 du 29 juin 2020
https://security.paloaltonetworks.com/CVE-2020-2021
Référence CVE CVE-2020-2021
https://www.cve.org/CVERecord?id=CVE-2020-2021

Gestion détaillée du document

Date	Description
03 juillet 2020	Version initiale
31 juillet 2020	La clôture d'une alerte ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante.