CVE-2022-0028
Palo Alto Networks PAN-OS Reflected Amplification Denial-of-Service Vulnerability
Beschreibung
CVE-2022-0028 ist eine Schwachstelle für reflektierte Verstärkungs-Denial-of-Service-Angriffe (RDoS) in Palo Alto Networks PAN-OS, die es einem netzwerkbasierten Angreifer ermöglicht, verstärkte TCP-Denial-of-Service-Angriffe durchzuführen. Die Schwachstelle besteht aufgrund einer Fehlkonfiguration der URL-Filterungsrichtlinie, die es ermöglicht, die Firewall als Verkehrsverstärker zu missbrauchen, um bösartigen Verkehr in Richtung eines Ziels zu reflektieren und zu verstärken. Palo Alto Networks Firewalls sind weit verbreitete Enterprise-Sicherheitsgeräte, und ihr Missbrauch als Verstärkungsvektoren kann erheblichen Angriffsverkehr erzeugen. Die CISA hat CVE-2022-0028 in ihren KEV-Katalog aufgenommen, und mit einem EPSS-Score von 4,68 % (89. Perzentil) wurde Ausnutzungsaktivität beobachtet.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| paloaltonetworks | pan-os | >= 8.1.0, < 8.1.23; >= 9.0.0, < 9.0.16; >= 9.1.0, < 9.1.14; >= 10.0.0, < 10.0.11; >= 10.1.0, < 10.1.6; >= 10.2.0, < 10.2.2; 8.1.23; 9.0.16; 9.1.14; 10.0.11; 10.1.6; 10.2.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:N/A:H
Referenzen
- https://security.paloaltonetworks.com/CVE-2022-0028(Mitigation, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-0028(US Government Resource)
Schwachstellentyp
CWE-406: Unzureichende Kontrolle des Netzwerknachrichtenvolumens (Netzwerkverstärkung)
CVE-2022-0028 nutzt eine unzureichende Kontrolle über das Netzwerknachrichtenvolumen in Palo Alto Networks PAN-OS aus, bei der die URL-Filterungsfunktion manipuliert werden kann, um verstärkten Antwortverkehr in Richtung der IP-Adresse eines Opfers zu erzeugen. Die Fehlkonfiguration ermöglicht es der Firewall, als Reflexions- und Verstärkungsvektor zu agieren, wobei eine kleine Angreiferanfrage eine unverhältnismäßig große Antwort erzeugt, die an das Ziel gerichtet ist.
Mehr erfahren: CWE-406 — Unzureichende Kontrolle des Netzwerknachrichtenvolumens
Auswirkungsanalyse
CVE-2022-0028 stellt ein erhebliches Risiko sowohl für die Organisationen dar, die verwundbare Palo Alto Networks Firewalls betreiben, als auch für die Ziele der resultierenden DDoS-Angriffe. Die Schwachstelle ist aus der Ferne über das Netzwerk ohne Authentifizierung ausnutzbar, erfordert keine Benutzerinteraktion und weist eine geringe Angriffskomplexität auf. Durch Ausnutzung der URL-Filterungs-Fehlkonfiguration kann ein Angreifer die Palo Alto Networks Firewall als Verkehrsverstärker nutzen, um reflektierte Denial-of-Service-Angriffe gegen beliebige Ziele zu starten. Dies hat doppelte Auswirkungen: Das angegriffene Opfer erhält verstärkten DDoS-Verkehr, der seine Netzwerkinfrastruktur überlasten kann, und die Organisation, die die fehlkonfigurierte Firewall besitzt, kann Leistungseinbußen und Bandbreitenverbrauch durch den verstärkten Verkehr erleben.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2022-0028 bestätigt, indem sie die Schwachstelle mit einer Behebungsfrist bis zum 12. September 2022 in den KEV-Katalog aufgenommen hat. Der EPSS-Score von 4,68 % (89. Perzentil) spiegelt moderate Ausnutzungsaktivität wider. Die Schwachstelle wurde von Palo Alto Networks in ihrem Security Advisory detailliert dokumentiert, und die Ausnutzungstechnik ist gut verstanden — sie beinhaltet das Senden manipulierter Anfragen an die URL-Filterungsfunktion, die die Firewall dazu veranlassen, verstärkte Antworten an eine gefälschte Quell-IP-Adresse zu senden. Es sind keine spezifischen Ransomware-Kampagnen mit dieser CVE assoziiert, da die Schwachstelle hauptsächlich für Denial-of-Service und nicht für Datenkompromittierung verwendet wird.
Behebung
- PAN-OS-Updates sofort anwenden: Gemäß der CISA-KEV-Vorgabe Updates gemäß Herstelleranweisungen anwenden, wie im Palo Alto Networks Security Advisory CVE-2022-0028 dokumentiert. Auf die gepatchte PAN-OS-Version aktualisieren.
- URL-Filterungsrichtlinien-Konfiguration überprüfen und korrigieren: Die URL-Filterungsrichtlinie auf betroffenen Palo Alto Networks Firewalls prüfen, um sicherzustellen, dass die Konfiguration das Gerät nicht als Reflexions-/Verstärkungsvektor nutzbar macht.
- Anti-Spoofing-Schutzmaßnahmen implementieren: Die Firewall und die vorgelagerte Netzwerkinfrastruktur so konfigurieren, dass IP-gefälschter Verkehr mittels BCP38/BCP84 Anti-Spoofing-Filtern blockiert wird.
- URL-Filterungsantworten ratenbegrenzen: Rate-Limiting auf der URL-Filterungsfunktion konfigurieren, um die Firewall daran zu hindern, übermäßigen Antwortverkehr zu generieren.
- Auf ungewöhnliche Verkehrsmuster überwachen: Überwachung und Alerting für anomale Verkehrsvolumen einrichten, die von der URL-Filterungsfunktion der Firewall ausgehen und darauf hindeuten könnten, dass das Gerät als DDoS-Verstärkungsvektor ausgenutzt wird.
Technische Details
CVE-2022-0028 ist eine reflektierte Verstärkungs-Denial-of-Service-Schwachstelle in der URL-Filterungsfunktion von Palo Alto Networks PAN-OS. Die Schwachstelle besteht, weil die URL-Filterungsrichtlinie bei Fehlkonfiguration der Firewall ermöglicht, externe Anfragen zu verarbeiten und auf eine Weise zu beantworten, die verstärkten Antwortverkehr erzeugt. Ein Angreifer kann manipulierte URL-Filterungsanfragen an die Firewall mit einer gefälschten Quell-IP-Adresse (der Adresse des Opfers) senden. Die Firewall verarbeitet diese Anfragen und sendet ihre Antworten — die größer sind als die ursprünglichen Anfragen — an die gefälschte Quelladresse, wodurch der Verkehr effektiv verstärkt und auf das Opfer gerichtet wird. Dies ist ein klassisches Muster eines reflektierten Verstärkungsangriffs, bei dem die Firewall als unwissender Verstärker dient. Der Verstärkungsfaktor und die hohe Bandbreitenkapazität von Enterprise-Firewalls machen dies zu einem potenten DDoS-Vektor.
Häufig gestellte Fragen
Wird CVE-2022-0028 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2022-0028 in ihren KEV-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt. Der EPSS-Score von 4,68 % (89. Perzentil) deutet auf fortlaufende Ausnutzungsaktivität hin. Die Schwachstelle wird zur Durchführung reflektierter Verstärkungs-DDoS-Angriffe verwendet.
Welche Produkte sind von CVE-2022-0028 betroffen?
CVE-2022-0028 betrifft Palo Alto Networks PAN-OS, das Betriebssystem für Palo Alto Networks Firewalls. Speziell sind Geräte mit URL-Filterungsrichtlinien verwundbar, die so fehlkonfiguriert sind, dass sie Verkehrsverstärkung ermöglichen.
Wie behebe ich CVE-2022-0028?
Wenden Sie die im Palo Alto Networks Security Advisory dokumentierten PAN-OS-Updates an. Überprüfen und korrigieren Sie die URL-Filterungsrichtlinien-Konfigurationen. Implementieren Sie Anti-Spoofing-Schutzmaßnahmen (BCP38/BCP84) im Netzwerk.
Wie schwerwiegend ist CVE-2022-0028?
CVE-2022-0028 ist eine schwerwiegende Denial-of-Service-Schwachstelle, die es ermöglicht, Palo Alto Networks Firewalls als DDoS-Verstärkungsvektoren zu missbrauchen. Mit einem EPSS-Score von 4,68 % (89. Perzentil) wird sie aktiv angegriffen. Obwohl sie keine Datenkompromittierung oder Codeausführung ermöglicht, kann die DDoS-Verstärkungsfähigkeit erhebliche Störungen verursachen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.