Palo Alto Networks schließt kritische Sicherheitslücke in PAN-OS

MÜNCHEN (IT BOLTWISE) – Palo Alto Networks hat eine schwerwiegende Sicherheitslücke in seiner PAN-OS-Software bekannt gegeben, die zu einem Denial-of-Service (DoS) führen kann. Diese Schwachstelle betrifft die DNS-Sicherheitsfunktion und ermöglicht es einem Angreifer, durch das Senden eines bösartigen Pakets die Firewall zum Neustart zu zwingen.

Palo Alto Networks hat kürzlich eine bedeutende Sicherheitslücke in seiner PAN-OS-Software entdeckt, die als CVE-2024-3393 bekannt ist. Diese Schwachstelle, die mit einem CVSS-Score von 8,7 bewertet wurde, betrifft die Versionen 10.X und 11.X von PAN-OS sowie Prisma Access, das auf diesen Versionen läuft. Die Sicherheitslücke ermöglicht es einem nicht authentifizierten Angreifer, durch das Senden eines bösartigen Pakets über die Datenebene der Firewall einen Neustart der Firewall zu erzwingen.

Die Entdeckung dieser Schwachstelle erfolgte während der Nutzung in Produktionsumgebungen, und Palo Alto Networks hat bereits Berichte von Kunden erhalten, die von dieser DoS-Schwachstelle betroffen sind. Die genaue Reichweite der Angriffe ist derzeit noch unbekannt, aber es wird dringend empfohlen, die betroffenen Systeme sofort zu aktualisieren, um das Risiko zu minimieren.

Um die Sicherheitslücke zu beheben, hat Palo Alto Networks Updates für mehrere Versionen von PAN-OS veröffentlicht, darunter PAN-OS 10.1.14-h8, PAN-OS 10.2.10-h12, PAN-OS 11.1.5 und PAN-OS 11.2.3. Diese Updates sind entscheidend, um die betroffenen Systeme vor potenziellen Angriffen zu schützen. Für Systeme, die von Strata Cloud Manager verwaltet werden, wird empfohlen, die DNS-Sicherheitsprotokollierung zu deaktivieren, bis ein Upgrade durchgeführt werden kann.

Die Schwachstelle betrifft insbesondere Firewalls, bei denen die DNS-Sicherheitsprotokollierung aktiviert ist. In Fällen, in denen der Zugriff nur authentifizierten Endbenutzern über Prisma Access gewährt wird, sinkt der Schweregrad der Schwachstelle auf einen CVSS-Score von 7,1. Dies zeigt, wie wichtig es ist, die Sicherheitsprotokolle regelmäßig zu überprüfen und zu aktualisieren, um solche Risiken zu minimieren.

Als vorübergehende Maßnahme können Kunden die Protokollschwere auf “keine” für alle konfigurierten DNS-Sicherheitskategorien in jedem Anti-Spyware-Profil setzen. Dies kann über die Sicherheitsprofile in den Objekten der PAN-OS-Oberfläche erfolgen. Für Kunden, die Prisma Access verwenden, wird empfohlen, ein Support-Ticket zu eröffnen, um die Protokollierung zu deaktivieren, bis ein Update durchgeführt werden kann.

Diese Sicherheitslücke unterstreicht die Notwendigkeit, kontinuierlich in die Sicherheit von Netzwerksystemen zu investieren und auf dem neuesten Stand der Technik zu bleiben. Unternehmen sollten sicherstellen, dass ihre Systeme regelmäßig überprüft und aktualisiert werden, um potenzielle Schwachstellen zu schließen und die Integrität ihrer Netzwerke zu gewährleisten.