Trusted DesignCVE-2020-2021 の詳細
CVEの情報
説明:
When Security Assertion Markup Language (SAML) authentication is enabled and the 'Validate Identity Provider Certificate' option is disabled (unchecked), improper verification of signatures in PAN-OS SAML authentication enables an unauthenticated network-based attacker to access protected resources. The attacker must have network access to the vulnerable server to exploit this vulnerability. This issue affects PAN-OS 9.1 versions earlier than PAN-OS 9.1.3; PAN-OS 9.0 versions earlier than PAN-OS 9.0.9; PAN-OS 8.1 versions earlier than PAN-OS 8.1.15, and all versions of PAN-OS 8.0 (EOL). This issue does not affect PAN-OS 7.1. This issue cannot be exploited if SAML is not used for authentication. This issue cannot be exploited if the 'Validate Identity Provider Certificate' option is enabled (checked) in the SAML Identity Provider Server Profile. Resources that can be protected by SAML-based single sign-on (SSO) authentication are: GlobalProtect Gateway, GlobalProtect Portal, GlobalProtect Clientless VPN, Authentication and Captive Portal, PAN-OS next-generation firewalls (PA-Series, VM-Series) and Panorama web interfaces, Prisma Access In the case of GlobalProtect Gateways, GlobalProtect Portal, Clientless VPN, Captive Portal, and Prisma Access, an unauthenticated attacker with network access to the affected servers can gain access to protected resources if allowed by configured authentication and Security policies. There is no impact on the integrity and availability of the gateway, portal or VPN server. An attacker cannot inspect or tamper with sessions of regular users. In the worst case, this is a critical severity vulnerability with a CVSS Base Score of 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N). In the case of PAN-OS and Panorama web interfaces, this issue allows an unauthenticated attacker with network access to the PAN-OS or Panorama web interfaces to log in as an administrator and perform administrative actions. In the worst-case scenario, this is a critical severity vulnerability with a CVSS Base Score of 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). If the web interfaces are only accessible to a restricted management network, then the issue is lowered to a CVSS Base Score of 9.6 (CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). Palo Alto Networks is not aware of any malicious attempts to exploit this vulnerability.
CVE更新日: 2020-06-29 15:15:12.733000
CVSSバージョン: 3.1
CVSSスコア: 10.0
KEVの情報
KEV更新日: 2022-03-25
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.043620000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2020-2021に関する脆弱性調査結果を以下にまとめます。
1. 脆弱性の概要
CVE-2020-2021は、Palo Alto NetworksのPAN-OSに存在する、Security Assertion Markup Language (SAML) 認証における認証バイパスの脆弱性です。この脆弱性は、SAML認証において署名の検証が不適切であることに起因します。
1.1 影響 この脆弱性が悪用された場合、認証されていないネットワークベースの攻撃者が保護されたリソースにアクセスできる可能性があります。
具体的には、以下の影響が考えられます。 * GlobalProtect Gateway, GlobalProtect Portal, GlobalProtect Clientless VPN, Captive Portal, Prisma Access の場合、設定されている認証ポリシーおよびセキュリティポリシーによって許可されていれば、認証されていない攻撃者が保護されたリソースにアクセスできます。ただし、ゲートウェイ、ポータル、またはVPNサーバーの整合性および可用性への影響はなく、正規ユーザーのセッションを検査したり改ざんしたりすることはできません。 * PAN-OS および Panorama のWebインターフェース の場合、認証されていない攻撃者が管理者としてログインし、管理アクションを実行できる可能性があります。
この脆弱性は、リモートコード実行 (RCE) ではありません。
1.2 深刻度 この脆弱性の深刻度はCritical (緊急) と評価されており、CVSSv3.1の基本スコアは10.0です (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N)。
2. 対象となる環境
2.1 影響を受けるOSバージョン 以下のPAN-OSバージョンが影響を受けます。 * PAN-OS 9.1 バージョンのPAN-OS 9.1.3より前のバージョン * PAN-OS 9.0 バージョンのPAN-OS 9.0.9より前のバージョン * PAN-OS 8.1 バージョンのPAN-OS 8.1.15より前のバージョン * PAN-OS 8.0 のすべてのバージョン (EOL済み) * PAN-OS 7.1 は影響を受けません。
2.2 影響を受ける設定 以下の両方の条件を満たす場合にのみ脆弱性が悪用されます。 * SAML認証が有効になっている。 * SAML Identity Provider Server Profileで「Validate Identity Provider Certificate」オプションが無効 (チェックなし) になっている。
SAML認証を使用していない場合、または「Validate Identity Provider Certificate」オプションが有効になっている場合は、この脆弱性は悪用されません。
3. 影響を受けた時の兆候
この脆弱性による直接的な悪用後の「兆候」については、具体的な情報は見つかりませんでした。Palo Alto Networksは、2020年6月29日の時点ではこの脆弱性の悪用事例は確認されていないと報告しています。 攻撃が成功した場合、攻撃者はシステムへの不正なアクセス権を取得するため、通常の認証ログに異常なログイン記録や、設定変更ログなどに不審なアクティビティが見られる可能性があります。
4. 推奨対策
4.1 本対策 以下のいずれかのバージョンにPAN-OSをアップグレードしてください。 * PAN-OS 9.1.3 以降 * PAN-OS 9.0.9 以降 * PAN-OS 8.1.15 以降 * PAN-OS 10.0.0 を含むそれ以降のすべてのバージョンで修正されています。
4.2 暫定回避策（緩和策） * SAML Identity Provider Server Profileで「Identity Provider Certificate」が適切に構成されていることを確認してください。 * IDプロバイダー (IdP) 証明書が認証局 (CA) によって署名された証明書である場合、SAML Identity Provider Server Profileで「Validate Identity Provider Certificate」オプションが有効 (チェック済み) になっていることを確認してください。 * ファイアウォールおよびPanoramaを再起動することで、Webインターフェース上の不正なセッションは終了します。
5. 他に解説すべき観点
参照したサイト