Palo Alto Networks PAN-OS 8.1.x / 9.0.x / 9.1.x / 10.0.x 不当输入验证

low Nessus 插件 ID 141350

语言：

简介

远程 PAN-OS 主机受到一个漏洞的影响

描述

远程主机上运行的 Palo Alto Networks PAN-OS 版本为 8.1.x 或 9.0.x 或 9.1.x 或 10.0.x。
因此，该操作系统受到不当输入验证漏洞的影响。

- 当 SSL/TLS 转发代理解密模式配置为解密 Web 事务时，PAN-OS URL 筛选功能会检查 HTTP 主机和 URL 路径标头，以对解密的 HTTP Web 事务执行策略，但不会考虑 TLS Client Hello 握手中的服务器名称指示 (SNI) 字段。处于受保护网络中的受损主机可利用此问题，规避在转发代理模式下已配置 SSL 解密的防火墙上使用 URL 筛选的任何安全性策略。恶意行为者可利用此技术，规避受损主机与远程恶意服务器之间 TLS 握手阶段的通信检测。此技术不会增加主机在网络中遭到破坏的风险。并不影响防火墙的机密性或可用性。可认为此技术对防火墙的完整性影响较低，这是因为防火墙无法对某些本应阻断的流量执行策略。此问题不会影响明文或加密 Web 事务的 URL 筛选策略执行。仅在恶意行为者破坏处于受保护网络中的主机，并且为攻击者控制的流量启用 TLS/SSL 解密功能之后，才能使用此技术。Palo Alto Networks 未发现任何使用此技术以泄漏数据的恶意软件。此问题适用于 PAN-OS 当前所有版本。
(CVE-2020-2035)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。