Palo Alto Networks PAN-OS の認証回避の脆弱性（CVE-2020-2021）

何が起きた

Palo Alto Networks の PAN-OS で、SAML というしくみを使ったログインのとき、署名の確認が正しく行われない弱点が見つかり、CISA の一覧で実際の悪用が確認されています。SAML 認証が有効で、Validate Identity Provider Certificate という設定がオフのとき、攻撃者はログインせずに守られた資源に入れます。管理画面が狙われた場合は、管理者としてログインして操作できるおそれがあります。NVD の評価では、攻撃者はネットワーク経由で、ログインなしに、利用者の操作も必要とせずに攻撃できます。なお Palo Alto Networks の勧告には、公開の時点では悪用の試みを把握していないと書かれています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

PAN-OS を使ったファイアウォールや Panorama で、SAML 認証を使っている組織が対象です。影響を受けるのは PAN-OS 9.1 の 9.1.3 より前、9.0 の 9.0.9 より前、8.1 の 8.1.15 より前、そして 8.0 のすべてのバージョンです。PAN-OS 7.1 は影響を受けません。SAML を使っていない場合や、Validate Identity Provider Certificate がオンの場合は悪用できません。

何をすればいい

PAN-OS 8.1.15、9.0.9、9.1.3 以降に更新されているか確認してください。Palo Alto Networks によると、更新の前に SAML の IdP の署名用の証明書を Identity Provider Certificate として設定しておかないと、更新後にログインできなくなることがあります。すぐに更新できない場合は、SAML をやめて別のログイン方法にするか、Identity Provider Certificate を設定し、CA が署名した証明書なら Validate Identity Provider Certificate をオンにします。PAN-OS 8.0 は 2019 年 10 月 31 日にサポートが終わっていて、Palo Alto Networks の製品セキュリティの方針の対象外とされています。あわせて、Palo Alto Networks の公式の案内を確認してください。

やることチェックリスト

• PAN-OS を 9.1.3 などの修正版以降に更新する
• 更新の前に IdP の証明書を設定する
• CA の証明書なら確認の設定をオンにする

用語メモ

SAML

一度のログインで複数のサービスを使えるようにするための、ログイン情報をやりとりする決まりごとです。

IdP

SAML でログインを確かめる役目のサービスです。利用者が本人かどうかを確認して、その結果を他のサービスに伝えます。

Panorama

Palo Alto Networks のファイアウォールをまとめて管理するための製品です。

CA

証明書が本物であることを保証する発行元のことです。