Des pirates exploitent une faille DoS pour faire redémarrer les firewalls Palo Alto Networks !
Une nouvelle faille de sécurité présente dans PAN-OS, le système utilisé par les firewalls de chez Palo Alto Networks, permet de forcer le redémarrage de l'équipement à distance, sans être authentifié. La porte ouverte à des attaques par déni de service... Faisons le point.
Du côté de chez Palo Alto Networks, la fin de l'année 2024 se termine par un nouveau patch pour combler une faille de sécurité importante découverte dans la fonction DNS Security du système PAN-OS. Associée à la référence CVE-2024-3393 et à un score CVSS de 8.7 sur 10, cette vulnérabilité permet de redémarrer le firewall à distance, ce qui aura pour effet de causer une interruption temporaire du service.
"Une vulnérabilité de déni de service dans la fonction de sécurité DNS du logiciel PAN-OS de Palo Alto Networks permet à un attaquant non authentifié d'envoyer un paquet malveillant à travers le data plane du pare-feu qui redémarre le pare-feu.", peut-on lire dans le bulletin de sécurité officiel publié par Palo Alto Networks. Ce qui est particulièrement gênant, c'est que des tentatives répétées, pourront faire basculer le firewall en mode maintenance.
L'éditeur américain a confirmé que cette vulnérabilité était activement exploitée par les cybercriminels. Suite à l'exploitation de cette faille, des clients ont subi des pannes (indisponibilité) lorsque le paquet malveillant a déclenché cette vulnérabilité. Cela se produit au moment où le pare-feu tente de bloquer un paquet DNS malveillant.
Qui est affecté ? Comment se protéger ?
Au-delà d'utiliser une version de PAN-OS vulnérable, Palo Alto Networks explique que cette vulnérabilité peut être exploitée si ces deux conditions sont remplies :
- Une licence "Security DNS" doit être installée sur l'appareil
- La journalisation de la sécurité DNS doit être activée.
Concernant la CVE-2024-3393, voici la liste des versions de PAN-OS affectées, et celles qui ne le sont pas :
Concrètement, ce que vous devez retenir, c'est que Palo Alto a corrigé la faille dans les versions suivantes : PAN-OS 10.1.14-h8, PAN-OS 10.2.10-h12, PAN-OS 11.1.5, PAN-OS 11.2.3 et les versions ultérieures.
"PAN-OS 11.0 a atteint la fin de vie (EOL) le 17 novembre 2024, nous n'avons donc pas l'intention de fournir un correctif pour cette version.", précise le bulletin de sécurité.
Si vous ne pouvez pas appliquer le correctif de sécurité pour le moment, référez-vous au bulletin de sécurité de l'éditeur pour appliquer la mesure d'atténuation temporaire.
