🇰🇷 한글 설명
특정 Palo Alto Networks PAN-OS 방화벽에서 IPSec 통신 시 AES-128-CCM 알고리즘을 사용하면 데이터가 암호화되지 않은 상태로 전송될 수 있습니다. 이 문제는 PA-7500, PA-5400, PA-3400, PA-1600, PA-1400, PA-400 시리즈 모델에 영향을 미칩니다.
💡 쉬운 설명
방화벽이 데이터를 안전하게 잠그는 방식(AES-128-CCM)을 사용할 때, 실제로는 잠금 장치가 제대로 작동하지 않아 데이터가 노출될 수 있는 문제입니다. 보안을 위해 권장되지 않는 암호화 방식을 사용하고 있기 때문에 발생합니다.
🇺🇸 원문 (English)
Using the AES-128-CCM algorithm for IPSec on certain Palo Alto Networks PAN-OS® firewalls (PA-7500, PA-5400, PA-5400f, PA-3400, PA-1600, PA-1400, and PA-400 Series) leads to unencrypted data transfer to devices that are connected to the PAN-OS firewall through IPSec.
This issue does not affect Cloud NGFWs, Prisma® Access instances, or PAN-OS VM-Series firewalls.
NOTE: The AES-128-CCM encryption algorithm is not recommended for use.
📍 영향받는 시스템
Palo Alto Networks PAN-OS (PA-7500, PA-5400, PA-5400f, PA-3400, PA-1600, PA-1400, PA-400 Series)
⚔️ 공격 벡터
IPSec 터널을 통해 전송되는 암호화되지 않은 데이터를 중간에서 가로채는 스니핑(Sniffing) 공격
🛡️ 대응 방법
IPSec 설정에서 AES-128-CCM 알고리즘 대신 AES-GCM 등 권장되는 강력한 암호화 알고리즘을 사용하도록 변경
🔧 검증 코드
명령어 결과에 'aes-128-ccm'이 포함되어 있다면 해당 취약한 알고리즘을 사용 중인 상태입니다.
show running ipsec-vpn tunnel detail | grep -i 'aes-128-ccm'