Palo Alto Networks PAN-OS の脆弱性（CVE-2022-0028）

何が起きた

Palo Alto Networks の PAN-OS で、URL フィルタリングの設定によっては、ファイアウォールが反射・増幅型の DoS 攻撃の踏み台に使われるおそれがある弱点が見つかりました。攻撃は、攻撃者が指定した相手に向けて、ファイアウォールから送られたように見えます。NVD の評価では、離れた場所から、ログインや利用者の操作なしに悪用できるとされています。Palo Alto Networks は、サービス事業者がこの弱点を利用した攻撃の試みを見つけたと説明していて、CISA の KEV にも載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

PAN-OS を使う PA-Series、VM-Series、CN-Series のファイアウォールで、外部に面したインターフェースを持つ送信元ゾーンに、ブロックするカテゴリを含む URL フィルタリングのプロファイルを割り当てている場合が対象です。影響を受けるのは PAN-OS 10.2.2-h2、10.1.6-h6、10.0.11-h1、9.1.14-h4、9.0.16-h3、8.1.23-h1 より前の版です。Cloud NGFW、Prisma Access、Panorama は影響を受けません。

何をすればいい

PAN-OS を、使っている系列に応じて 10.2.2-h2、10.1.6-h6、10.0.11-h1、9.1.14-h4、9.0.16-h3、8.1.23-h1 以降に更新されているか確認してください。すぐに更新できないときは、外部に面したゾーンに割り当てた URL フィルタリングの設定を外すと、外部からの悪用を防げるとメーカーは案内しています。ゾーンプロテクションの設定で攻撃を防ぐ方法も示されているので、Palo Alto Networks の公式の案内を確認してください。

やることチェックリスト

• PAN-OS 10.2 は 10.2.2-h2 以降に更新する
• 外部ゾーンの URL フィルタリング設定を外す
• ゾーンプロテクションを有効にする

用語メモ

DoS 攻撃

大量の通信などを送りつけて、相手のサービスを使えなくする攻撃です。

URL フィルタリング

閲覧先の Web サイトを種類ごとに分け、決められた種類への接続を止める機能です。

ゾーンプロテクション

Palo Alto Networks のファイアウォールで、区画（ゾーン）ごとに不審な通信を防ぐ設定です。