Trusted Design

CVE-2022-0028 の詳細

CVEの情報

説明:
A PAN-OS URL filtering policy misconfiguration could allow a network-based attacker to conduct reflected and amplified TCP denial-of-service (RDoS) attacks. The DoS attack would appear to originate from a Palo Alto Networks PA-Series (hardware), VM-Series (virtual) and CN-Series (container) firewall against an attacker-specified target. To be misused by an external attacker, the firewall configuration must have a URL filtering profile with one or more blocked categories assigned to a source zone that has an external facing interface. This configuration is not typical for URL filtering and, if set, is likely unintended by the administrator. If exploited, this issue would not impact the confidentiality, integrity, or availability of our products. However, the resulting denial-of-service (DoS) attack may help obfuscate the identity of the attacker and implicate the firewall as the source of the attack. We have taken prompt action to address this issue in our PAN-OS software. All software updates for this issue are expected to be released no later than the week of August 15, 2022. This issue does not impact Panorama M-Series or Panorama virtual appliances. This issue has been resolved for all Cloud NGFW and Prisma Access customers and no additional action is required from them.

CVE更新日: 2022-08-10 16:15:08.343000

CVSSバージョン: 3.1

CVSSスコア: 8.6

KEVの情報

KEV更新日: 2022-08-22

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.025420000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2022-0028に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

Palo Alto NetworksのPAN-OSに存在するURLフィルタリングポリシーの誤設定に関する脆弱性（CVE-2022-0028）です。この脆弱性は、ネットワークベースの攻撃者が反射・増幅型のTCPサービス拒否（RDoS）攻撃を実行することを可能にします。攻撃は、Palo Alto NetworksのPA-Series (ハードウェア)、VM-Series (仮想)、CN-Series (コンテナ) ファイアウォールから発信されているように見えます。

米国土安全保障省サイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA）のKnown Exploited Vulnerabilities Catalogに追加されており、活発な悪用が確認されています。

1.1 影響

この脆弱性が悪用された場合でも、Palo Alto Networks製品の機密性、完全性、可用性自体には影響を与えません。 しかし、結果として発生するサービス拒否（DoS）攻撃により、攻撃者の身元が隠蔽され、ファイアウォールが攻撃の送信元であるかのように見せかけることが可能になります。 これにより、DDoS攻撃の踏み台として利用され、標的の業務中断や金銭的被害につながる可能性があります。

1.2 深刻度

CVSSv3.1のベーススコアは8.6で「High（高）」と評価されています。 Palo Alto Networksもこの脆弱性の重要度を「高 (High)」とレーティングしています。

2. 対象となる環境

Palo Alto NetworksのPA-Series (ハードウェア)、VM-Series (仮想)、CN-Series (コンテナ) ファイアウォールが影響を受けます。 一方で、Panorama M-SeriesおよびPanorama仮想アプライアンスは影響を受けません。 また、Cloud NGFWおよびPrisma Accessの顧客については、この問題は既に解決されており、追加の対応は不要です。

2.1 影響を受けるOSバージョン

以下のPAN-OSのバージョンが影響を受けます。 * PAN-OS 8.1以前のバージョン (具体的には 8.1.23-h1 より前) * PAN-OS 9.0以前のバージョン (具体的には 9.0.16-h3 より前) * PAN-OS 9.1以前のバージョン (具体的には 9.1.14-h4 より前) * PAN-OS 10.0以前のバージョン (具体的には 10.0.11-h1 より前) * PAN-OS 10.1以前のバージョン (具体的には 10.1.6-h6 より前) * PAN-OS 10.2以前のバージョン (具体的には 10.2.2-h2 より前)

2.2 影響を受ける設定

この脆弱性は、以下の3つの条件がすべて満たされる場合に悪用される可能性があります。

  1. ファイアウォールのセキュリティポリシーに、1つ以上のブロックカテゴリが割り当てられたURLフィルタリングプロファイルが含まれており、それが外部に面したインターフェースを持つ送信元ゾーンに適用されていること。
  2. ゾーン保護プロファイルにおいて、パケットベース攻撃防御（TCP Drop > TCP SYN with Data および Packet Based Attack Protection > TCP Drop > Strip TCP Options > TCP Fast Open を含む）が有効になっていないこと。
  3. ゾーン保護プロファイルにおいて、SYN Cookieによるフラッド保護が、ゼロ接続のアクティベーションしきい値で有効になっていないこと。

通常、外部から内部への通信にURLフィルタリングを適用する設定は一般的ではなく、管理者が意図せず設定ミスをしている場合に発生する可能性が高いとされています。

3. 影響を受けた時の兆候

  • Palo Alto Networksのファイアウォールが反射・増幅型DoS攻撃の踏み台として利用され、外部の標的へ大量のTCPトラフィックを送信している。
  • 外部の標的の組織から、ファイアウォールがDoS攻撃の送信元として報告される。

4. 推奨対策

4.1 本対策

ベンダーの指示に従い、PAN-OSを修正済みのバージョンにアップデートしてください。 具体的には、以下のバージョン以降にアップデートが必要です。

  • PAN-OS 10.2.2-h2
  • PAN-OS 10.1.6-h6
  • PAN-OS 10.0.11-h1
  • PAN-OS 9.1.14-h4
  • PAN-OS 9.0.16-h3
  • PAN-OS 8.1.23-h1

4.2 暫定回避策（緩和策）

上記の「2.2 影響を受ける設定」で述べた3つの条件のうち、少なくとも1つが満たされないように設定を変更することで、この脆弱性の悪用を軽減できます。

  • パケットベース攻撃防御 (Packet-Based Attack Protection) の設定 (推奨):
    • URLフィルタリングが有効なすべてのセキュリティゾーンに対して、パケットベース攻撃防御オプションを設定します。この設定により、TCP SYNパケットにデータが含まれる場合にTCPセッションの確立を防ぐことができます。
    • ただし、この回避策は、TCP Fast Openを使用するアプリケーションの動作に影響を与える可能性があることに注意が必要です。
  • フラッド防御 (Flood Protection) の有効化 (代替策):
    • ゾーン保護プロファイルでSYN Cookieによるフラッド保護を有効にします。
    • SYN Cookieを有効にすることによるトラフィックフローの変化を事前に理解しておく必要があります。

5. 他に解説すべき観点

  • 活発な悪用: この脆弱性はCISAのKnown Exploited Vulnerabilities Catalogに登録されており、攻撃者による積極的な悪用が確認されています。 したがって、早急な対策の実施が強く推奨されます。

参照サイト

NVDサイト

NVDでCVEの詳細を見る

戻る