🇰🇷 한글 설명
Palo Alto Networks PAN-OS OpenConfig 플러그인에서 발생하는 커맨드 인젝션 취약점입니다. 인증된 관리자가 gNMI 요청을 통해 시스템 제한을 우회하고 '__openconfig' 권한으로 임의의 명령어를 실행할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 보안 설정을 무시하고 방화벽에 몰래 명령을 내릴 수 있는 결함입니다. 이를 통해 공격자가 방화벽 내부에서 허용되지 않은 동작을 수행할 위험이 있습니다.
🇺🇸 원문 (English)
A command injection vulnerability in the Palo Alto Networks PAN-OS OpenConfig plugin enables an authenticated administrator with the ability to make gNMI requests to the PAN-OS management web interface to bypass system restrictions and run arbitrary commands. The commands are run as the “__openconfig” user (which has the Device Administrator role) on the firewall.
You can greatly reduce the risk of this issue by restricting access to the management web interface to only trusted internal IP addresses according to our recommended best practices deployment guidelines https://live.paloaltonetworks.com/t5/community-blogs/tips-amp-tricks-how-to-secure-the-management-access-of-your-palo/ba-p/464431 .
📍 영향받는 시스템
Palo Alto Networks PAN-OS (OpenConfig 플러그인 사용 환경)
⚔️ 공격 벡터
인증된 관리자가 gNMI 요청을 사용하여 관리 웹 인터페이스에 악성 명령 주입
🛡️ 대응 방법
관리 웹 인터페이스 접근을 신뢰할 수 있는 내부 IP로만 제한하고 최신 보안 패치를 적용하십시오.
🔧 검증 코드
출력된 PAN-OS 버전을 확인하여 해당 취약점이 해결된 최신 버전인지 제조사 보안 권고안과 비교하십시오.
show system info | grep 'PAN-OS'