Krytyczna podatność w Palo Alto Networks
W oprogramowaniu Palo Alto Networks producent wykrył krytyczną podatność umożliwiającą obejście mechanizmów uwierzytelniania w portalu oraz bramie GlobalProtect. Luka, oceniona na 9,1 w skali CVSS, pozwala atakującemu na zestawienie nieautoryzowanego połączenia VPN bez konieczności logowania. W efekcie możliwe jest uzyskanie dostępu do sieci wewnętrznej organizacji, a także podszycie się pod dowolnego użytkownika, w tym administratora, bez udziału ofiary.
Charakterystyka podatności CVE-2026-0255
- CVSS 3.1:9,1(Critical)
- CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Jak działa podatność
Uwierzytelnianie omija luki w portalu GlobalProtect i bramie oprogramowania Palo Alto Networks pozwala atakującemu obejść ograniczenia bezpieczeństwa i nawiązać nieautoryzowane połączenie VPN.
Skutki:
- dostęp do VPN bez uwierzytelnienia
- możliwe podszycie się pod dowolnego użytkownika (np. admina)
- dostęp do sieci wewnętrznej organizacji
- brak potrzeby interakcji użytkownika
Podatne systemy
- PAN-OS 12.1
- PAN-OS 11.2
- PAN-OS 11.1
- PAN-OS 10.2
- Prisma Access 11.2.0
- Prisma Access 10.2.0
Panorama i Cloud NGFW nie są podatne.
Rekomendowane działania
Aktualizacja oprogramowania do najnowszej wersji zalecanej przez producenta.