Palo Alto防火墙产品OS爆重大漏洞

Palo Alto上周针对旗下防火墙产品的操作系统PAN-OS一项可能导致骇客执行任意程式码，风险评分9.8的重大漏洞发布安全公告，影响众多版本OS，呼吁用户尽速升级到最新版本。

编号CVE-2020-2040的漏洞出现在Captive Portal或多因素验证（Multi-Factor Authentication，MFA）界面，攻击者对其传送恶意呼叫即可开采，造成缓冲溢位导致系统行程毁损，而得以用根权限执行任意程式码。

只要防火墙开启Captive Portal或多因素验证界面，攻击就能成功，不需使用者任何动作。由于攻击难度不高、也无需任何使用者授权，使CVE-2020-2040被列为高风险漏洞，CVSS 3.0风险评分达到满分10分中的9.8分。

本漏洞影响甚广，涵括PAN-OS 8.0版、PAN-OS 8.1.15以前、PAN-OS 9.0.9以前、以及PAN-OS 9.1.3以前版本。PAN-OS 10.0则不受影响。

Palo Alto说，这项漏洞是由该公司研究人员内部研究发现，尚未看到网络上有攻击行动，但仍呼吁用户尽速升级到最新版本（PAN-OS 8.1.15、PAN-OS 9.0.9、PAN-OS 9.1.3）。

针对还未能更新OS的企业用户，Palo Alto建议将病毒签章档升级到8317，可暂时阻挡攻击行动。