ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Palo Alto Networks'ün PAN-OS güvenlik duvarı yazılımında aktif olarak istismar edilen bir güvenlik açığına karşı uyarı yayınladı. CVE-2022-0028 olarak izlenen bu yüksek önem dereceli açık, uzaktaki saldırganların kimlik doğrulaması olmadan yansıtmalı ve büyütülmüş hizmet engelleme (DoS) saldırıları düzenlemesine olanak tanıyor. CISA, federal ve kamu IT güvenlik ekiplerine mevcut yamaları en kısa sürede uygulamalarını ve federal kurumların bu düzeltmeyi 9 Eylül'e kadar tamamlamasını zorunlu kıldı.
Palo Alto Networks, bu ayın başlarında yayınladığı güvenlik bülteninde, açığın yalnızca belirli koşullar altında ve sınırlı sayıda sistemde istismar edilebildiğini belirtti. Ancak şirket, saldırganların bu açığı kullanmaya çalıştığını doğruladı. Etkilenen ürünler arasında PA-Serisi (donanım), VM-Serisi (sanal) ve CN-Serisi (konteyner) güvenlik duvarları yer alıyor. Güvenlik açığından etkilenen PAN-OS sürümleri: 10.2.2-h2 öncesi, 10.1.6-h6 öncesi, 10.0.11-h1 öncesi, 9.1.14-h4 öncesi, 9.0.16-h3 öncesi ve 8.1.23-h1 öncesi sürümler. Palo Alto Networks, bu sürümler için yamalar yayınladı.
Güvenlik açığı, yanlış yapılandırılmış URL filtreleme politikalarından kaynaklanıyor. Bültene göre, güvenlik duvarı yapılandırmasında, dışa dönük bir ağ arayüzüne sahip bir kaynak bölgeye atanmış, engellenen kategorileri içeren bir URL filtreleme profili bulunmalı. Bu yapılandırma genellikle ağ yöneticileri tarafından istenmeyen bir durum olarak tanımlanıyor. CISA, bu açığı Bilinen İstismar Edilen Güvenlik Açıkları (KEV) Kataloğu'na ekleyerek, kamu ve özel sektör kuruluşlarının bu açığı öncelikli olarak düzeltmesini tavsiye etti.
Yansıtmalı ve büyütülmüş DoS saldırıları, DDoS saldırılarının en yaygın türlerinden biridir. Bu saldırılarda, saldırgan kurbanın IP adresini kullanarak sahte SYN paketleri gönderir ve çeşitli hizmetlerden gelen yanıtların büyütülerek kurbana iletilmesini sağlar. Palo Alto Networks güvenlik duvarı açığı da bu tür bir TCP tabanlı yansıtmalı saldırıya olanak tanıyor. Şirket, şu ana kadar başka saldırı raporu olmadığını ancak kullanıcıların yamaları hemen uygulaması gerektiğini vurguluyor. Bu tür saldırılar, yüksek hacimli trafik üreterek web sitelerini ve uygulamaları çevrimdışı bırakabiliyor, bu da gelir kaybına ve müşteri memnuniyetsizliğine yol açabiliyor.
